Instalasi Active Directory Windows Server 2003

Microsoft Windows Server 2003 tidak akan bekerja maksimal apabila Active Directory belum diinstalasi. Semua yang berhubungan dengan services dan domain ada dalam Active Directory ini. Jadi apabila Anda tidak menginstalasi Active Directory berarti komputer Anda hanya dijadikan Workgroup saja. Kalau dijadikan Workgroup, maka Active Directory tidak perlu diinstalasi.
Active Directory hanya bisa diinstalasi apabila sudah terpasang kartu jaringan (NIC) yang baik dan benar serta harddisk harus diformat NTFS. Untuk itu Anda harus menginstalasi Microsoft Windows Server 2003 dalam format NTFS.
Untuk menginstal Active Directory Microsoft Windows Server 2003 banyak caranya, bisa dengan mengetikan DCPROMO dari RUN, bisa juga dengan memanfaatkan fasilitas Manager Your Server. Untuk itu Anda bisa melakukan cara yang paling mudah saja.
Instalasi Active Directory
Setelah selesai menginstalasi Microsoft Windows Server 2003 dan tidak ada kesalahan, langkah selanjutnya adalah menginstalasi Active Directory. Ada dua cara yang bisa Anda lakukan untuk menginstalasi Active Directory ini. Pertama dengan menuliskan atau mengetikkan DCPROMO dari tombol RUN atau bisa juga dengan memanfaatkan fasilitas Wizard yang disediakannya. Sebagai gambaran berikut akan dijelaskan prosedur yang harus Anda lakukan adalah sebagai berikut:
1. Jendela konfigurasi Windows Server 2003 dalam keadaan tampil
2. Pilih Add or remove a rool. Setelah Anda menekan tombol Add or remove a rool, komputer akan berkerja dan segera tampil tayangan berikutnya
3. Klik tombol Next apabila Anda sudah membaca semua yang tampil pada jendela tersebut. Biarkan komputer bekerja sehingga akan tampil semua komponen yang sudah dan belum Anda instalasi sebelumnya
4. Pilih Domain Control (Active Directory), karena sebelumnya Anda belum menyelesaikan pekerjaan tersebut. Setelah memilih Domain Control tadi klik Next untuk melanjutkan.
5. Klik lagi Next. Setelah itu komputer kembali akan bekerja, kemudian pada saat tampil pernyataan Active Directory Instalation Wizard tampil klik OK untuk melanjutkan pekerjaan Anda. Kemudian komputer akan menampilkan kotak dialog Welcome to Active Directory Installation Wizard.
6. Klik Next untuk melanjutkan. Microsoft Windows akan menampilkan kotak dialog Operating System Compatibility. Perhatikan kotak dialog tersebut dan jika sudah yakin klik Next untuk melanjutkan.
7. Pada saat tampil kotak dialog Domain Control Type, lalu pilih Domain Controller for a New domain
8. Klik Next untuk melanjutkan pekerjaan Anda. Kembali kotak dialog a Create a new domain tampil, Anda pilih Domain in a new Fores
9. Klik Next lagi, kemudian pada kotak dialog New Domain Name, ketikkan nama Domain Anda, misalnya DATAKOM.COM
10. Klik Next dan biarkan komputer bekerja dan jika tidak terjadi kesalahan atau bentrok, maka secara otomatis kotak dialog NetBIOS Domain Name akan terisi sama yaitu DATAKOM
11. Klik lagi Next. Setelah itu komputer akan menampilkan kotak dialog Database and Log Folders untuk menyimpan data yandg berhubungan dengan Database dan Log tersebut.
12. Klik Next untuk melanjutkan pekerjaan Anda. Kembali kotak dialog berikutnya bernama Shared System Volume akan tampil
13. Dari kotak dioalog Shared System Volume di atas Anda klik Next untuk melanjutkan. Kotak dialog DNS Registration Diagnostics segera tampil, jika Anda akan membuatnya secara otomatis DNS untuk Server Anda, maka Anda pilih Install and configure the DNS on this computer
14. Klik Next. Kemudian akan tampil pernyataan, apakah Server ini bisa digunakan oleh semua komputer berbasis Microsoft Windows 2000 dan 2003 ke bawah atau hanya Microsoft Windows 2000 dan 2003 saja. Dalam buku ini saya memilih agar semua komputer yang berbasis Windows 2003 ke bawah bisa join ke Server ini.
15. Klik Next. Kotak dialog untuk menuliskan Password Directory Services Restore Mode Administrator Password segera tampil. Untuk itu Anda ketikkan Password Anda di kolom yang telah disediakan, misalnya datakom2005, ketikkan sekali lagi password yang tadi, datakom2005. Jika kurang jelas Anda klik Active Directory Help.
16. Klik Next untuk melanjutkan.
17. Directory Services Restore Mode Administrator Password, yaitu menuliskan Password Directory Services Restore Mode Administrator Password
18. Klik lagi Next dan biarkan komputer bekerja. Di sini Anda bisa istirahat atau meninggalkan komputer untuk beberapa saat.
19. Setelah Anda menekan tombol Finish komputer akan menampilkan dua pernyataan apakah komputer akan di Restart atau tidak. Pilih dan klik Restart dan biarkan komputer melakukan boot secara otomatis.
20. Pada saat login Anda akan melihat perbedaan, di mana ketika sebelum Active Directory diinstalasi Anda tidak menemukan Domain, sedangkan setelah Active Directory diinstalasi, Domain yang Anda instalasi bernama DATAKOM akan tampil.
21. Pada saat Login pertama kali dan Anda melakukan instalasi Active Directory dengan memanfaatkan fasilitas Add or remove a rool, maka komputer akan sedikit lambat dan akan tampil tayangan selanjutnya, lalu untuk menutupnya Anda klik Finish.



IP Address pada Server
Sebenarnya IP Address untuk Server ini ketika proses instalasi Active Directory ditanyakan apakah akan langsung diisi atau tidak. Jika belum diisi pada saat instalasi tersebut Anda harus mengisinya.
Tujuan IP Address adalah memberi alamat untuk sebuah server atau komputer dalam suatu jaringan. Secara sederhana agar komputer dalam jaringan dapat dikenali oleh semua client dan dirinya sendiri harus diberi alamat. Alamat inilah yang dimaksud dengan IP Address. IP Address adalah nomor tertentu yang nantinya dijadikan patokan untuk memberi alamat pada Client yang ada dalam suatu jaringan LAN berbasis Client Server ataupun Workgroup.
Masalah pemberian IP Address atau pemberian alamat ini tidak bisa sembarangan, apalagi bila komputer Anda dijadikan Web Server. Maka jelas IP Address tersebut tidak asal memberikan saja, harus disesuaikan dengan kebutuhan dan aturan-aturan yang ada. Dalam contoh ini saya memberi IP Address untuk Server saya bernama DATAKOM dengan nomor 192.168.53.1. Maka nomor lain untuk semua Client harus mengacu pada nomor ini, misalnya untuk Client harus mulai dari nomor 192.168.53.11 sampai 192.168.53.100 atau sesuai dengan jumlah komputer yang akan dikoneksikan ke jaringan. Untuk mengetahui lebih jauh mengenai IP Address dan TCP/IP Anda bisa membaca buku saya tentang IP Address dan TCP/IP.
Jika ada dua server atau lebih Anda bisa menggunakan Child Domain (CDC) atau Primery Domain (PDC). Bahkan apabila Anda menginginkan backup juga bisa ditambahkan Backup Domain Controller (BDC), namun yang terakhir tidak saya jelaskan dalam buku ini.
Kemudian kalau Anda akan memasang ada dua server yang segmennya berbeda, maka Anda harus memberi IP dua segmen, artinya server A dengan nomor misalnya 192.168.53.1 dan dalam group ini semua Client harus diawali dengan IP 192.168.53.xx. Sedangkan untuk server B bisa menggunakan nomor 192.168.10.1 atau disesuaikan dengan kebutuhan, maka jika demikian nomor IP untuk Client group ini harus diawali dengan IP nomor 192.168.10.xx. Sedangkan untuk Subnet mask-nya adalah 255.255.255.0. Untuk mengetahui mengenai golongan IP Address ini Anda bisa membacanya di bagian sebelumnya.
Lalu kalau Anda mau menggabungkan dua server yang berbeda segmen, maka salah satu server harus dijadikan Router. Caranya Anda tidak perlu membeli Router melainkan cukup menambah 1 (satu) lagi kartu jaringan atau NIC di salah satu Server yang ada, misalnya di Server A dengan IP disesuaikan dengan server yang dijadikan Router tersebut.


IP Address
Agar komputer Server Anda bisa dikenali, maka harus diberi alamat berupa IP Address. Prosedur yang harus Anda lakukan adalah sebagai berikut:
1. Dari Desktop klik kanan mouse tepat di atas indikator LAN di sudu kanan layar Anda. Setelah itu akan tampil kotak dialog Local Area Connection Status. Atau Anda bisa masuk melalui tombol Start, lalu pilih Connect to dan pilih Show all connection. Setelah itu klik kanan tepat di atas Local Area Connection dan pilih Properties.
2. Pilih dan klik Properties. Setelah itu akan tampil jendela Local Area Connection Properties akan tampil.
3. Klik Show icon in taskbar when connected untuk menampilkan tanda Local Area Connection di taskbar
4. Klik Internet Protocol (TCP/IP)
5. Klik Properties. Setelah itu akan tampil kotak dialog Internet Protocol (TCP/IP) Properties
6. Klik Use the following IP Address
7. Ketikkan di kolom IP Address 192.168.53.1
8. Klik tab di papan ketik
9. Kolom Subnet mask tidak perlu Anda isi, dengan menekan tab Subnet mask 255.255.255.0 secara otomatis sudah terisi
Mengisi DNS Server
Untuk mengisi DNS services ini bisa langsung di tab General di kolom Preferred DNS server. Namun demikian Anda juga bisa menggunakan cara yang akan saya jelaskan berikut ini:
1. Klik tab Advanced. Setelah itu akan tampil kotak dialog Advanced TCP/IP Setting
2. Klik tab DNS
3. Klik Add
4. Ketikkan 192.168.53.2 pada kolom di bawah DNS server
5. Klik Add
6. Klik OK untuk menutup kotak dialog tersebut
7. Klik OK
8. Klik OK sekali lagi untuk menutup kotak dialog Local Area Connection Properties sekaligus menyimpan ketentuan seting yang telah Anda lakukan
Coba periksa apakah pekerjaan Anda telah sukses atau belum. Caranya ketikkan PING 192.168.53.1 dari RUN Anda harus mengonfigurasi dan memeriksa kartu jaringan (NIC) atau LAN Card, kabel dan lain-lain yang digunakan dalam komputer Anda. Sampai di sini penjelasan mengenai instalasi Active Directory ini. Keterangan dan settings yang berhubungan dengan Active Directory akan saya jelaskan di bagian selanjutnya.

Langkah-langkah dasar setup mikrotik

Langkah-langkah berikut adalah dasar-dasar setup mikrotik yang dikonfigurasikan untuk jaringan sederhana sebagai gateway server.
1. Langkah pertama adalah install Mikrotik RouterOS pada PC atau pasang DOM.
2. Login Pada Mikrotik Routers melalui console :
MikroTik v2.9.7
Login: admin
Password: (kosongkan)
Sampai langkah ini kita sudah bisa masuk pada mesin Mikrotik. User default adalah admin
dan tanpa password, tinggal ketik admin kemudian tekan tombol enter.
3. Untuk keamanan ganti password default
[admin@Mikrotik] > password
old password: *****
new password: *****
retype new password: *****
[admin@ Mikrotik]] >
4. Mengganti nama Mikrotik Router, pada langkah ini nama server akan diganti menjadi “XAVIERO” (nama ini sih bebas2 aja mo diganti)
[admin@Mikrotik] > system identity set name=XAVIERO
[admin@XAVIERO] >
5. Melihat interface pada Mikrotik Router
[admin@XAVIERO] > interface print
Flags: X - disabled, D - dynamic, R - running
# NAME TYPE RX-RATE TX-RATE MTU
0 R ether1 ether 0 0 1500
1 R ether2 ether 0 0 1500
[admin@XAVIERO] >
6. Memberikan IP address pada interface Mikrotik. Misalkan ether1 akan kita gunakan untuk koneksi ke Internet dengan IP 192.168.0.1 dan ether2 akan kita gunakan untuk network local kita dengan IP 172.16.0.1
[admin@XAVIERO] > ip address add address=192.168.0.1
netmask=255.255.255.0 interface=ether1
[admin@XAVIERO] > ip address add address=172.16.0.1
netmask=255.255.255.0 interface=ether2
7. Melihat konfigurasi IP address yang sudah kita berikan
[admin@XAVIERO] >ip address print
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 192.168.0.1/24 192.168.0.0 192.168.0.63 ether1
1 172.16.0.1/24 172.16.0.0 172.16.0.255 ether2
[admin@XAVIERO] >
8. Memberikan default Gateway, diasumsikan gateway untuk koneksi internet adalah 192.168.0.254
[admin@XAVIERO] > /ip route add gateway=192.168.0.254
9. Melihat Tabel routing pada Mikrotik Routers
[admin@XAVIERO] > ip route print
Flags: X - disabled, A - active, D - dynamic,
C - connect, S - static, r - rip, b - bgp, o - ospf
# DST-ADDRESS PREFSRC G GATEWAY DISTANCE INTERFACE
0 ADC 172.16.0.0/24 172.16.0.1 ether2
1 ADC 192.168.0.0/26 192.168.0.1 ether1
2 A S 0.0.0.0/0 r 192.168.0.254 ether1
[admin@XAVIERO] >
10. Tes Ping ke Gateway untuk memastikan konfigurasi sudah benar
[admin@XAVIERO] > ping 192.168.0.254
192.168.0.254 64 byte ping: ttl=64 time<1 ttl="64" max =" 0/0.0/0">
11. Setup DNS pada Mikrotik Routers
[admin@XAVIERO] > ip dns set primary-dns=192.168.0.10 allow-remoterequests=no
[admin@XAVIERO] > ip dns set secondary-dns=192.168.0.11 allow-remoterequests=no
12. Melihat konfigurasi DNS
[admin@XAVIERO] > ip dns print
primary-dns: 192.168.0.10
secondary-dns: 192.168.0.11
allow-remote-requests: no
cache-size: 2048KiB
cache-max-ttl: 1w
cache-used: 16KiB
[admin@XAVIERO] >
13. Tes untuk akses domain, misalnya dengan ping nama domain
[admin@XAVIERO] > ping yahoo.com
216.109.112.135 64 byte ping: ttl=48 time=250 ms
10 packets transmitted, 10 packets received, 0% packet loss
round-trip min/avg/max = 571/571.0/571 ms
[admin@XAVIERO] >
Jika sudah berhasil reply berarti seting DNS sudah benar.
14. Setup Masquerading, Jika Mikrotik akan kita pergunakan sebagai gateway server maka agar client computer pada network dapat terkoneksi ke internet perlu kita masquerading.
[admin@XAVIERO]> ip firewall nat add action=masquerade outinterface=
ether1 chain:srcnat
[admin@XAVIERO] >
15. Melihat konfigurasi Masquerading
[admin@XAVIERO]ip firewall nat print
Flags: X - disabled, I - invalid, D - dynamic
0 chain=srcnat out-interface=ether1 action=masquerade
[admin@XAVIERO] >
Setelah langkah ini bisa dilakukan pemeriksaan untuk koneksi dari jaringan local. Dan jika berhasil berarti kita sudah berhasil melakukan instalasi Mikrotik Router sebagai Gateway server. Setelah terkoneksi dengan jaringan Mikrotik dapat dimanage menggunakan WinBox
yang bisa di download dari Mikrotik.com atau dari server mikrotik kita.
Misal Ip address server
mikrotik kita 192.168.0.1, via browser buka http://192.168.0.1 dan download WinBox dari situ.
Jika kita menginginkan client mendapatkan IP address secara otomatis maka perlu kita setup dhcp server pada Mikrotik. Berikut langkah-langkahnya :
1.Buat IP address pool
/ip pool add name=dhcp-pool ranges=172.16.0.10-172.16.0.20
2. Tambahkan DHCP Network dan gatewaynya yang akan didistribusikan ke client Pada contoh ini networknya adalah 172.16.0.0/24 dan gatewaynya 172.16.0.1
/ip dhcp-server network add address=172.16.0.0/24 gateway=172.16.0.1
3. Tambahkan DHCP Server ( pada contoh ini dhcp diterapkan pada interface ether2 )
/ip dhcp-server add interface=ether2 address-pool=dhcp-pool
4. Lihat status DHCP server
[admin@XAVIERO]> ip dhcp-server print
Flags: X - disabled, I - invalid
# NAME INTERFACE RELAY ADDRESS-POOL LEASE-TIME ADD-ARP
0 X dhcp1 ether2
Tanda X menyatakan bahwa DHCP server belum enable maka perlu dienablekan terlebih dahulu pada langkah 5.
5. Jangan Lupa dibuat enable dulu dhcp servernya
/ip dhcp-server enable 0
kemudian cek kembali dhcp-server seperti langkah 4, jika tanda X sudah tidak ada berarti sudah aktif.
6. Tes Dari client
c:\>ping www.yahoo.com
untuk bandwith controller, bisa dengan sistem simple queue ataupun bisa dengan mangle
[admin@XAVIERO] queue simple> add name=Komputer01
interface=ether2 target-address=172.16.0.1/24 max-limit=65536/131072
[admin@XAVIERO] queue simple> add name=Komputer02
interface=ether2 target-address=172.16.0.2/24 max-limit=65536/131072
dan seterusnya…

Queue dengan SRC-NAT dan WEB-PROXY

Pada penggunaan queue (bandwidth limiter), penentuan CHAIN pada MENGLE sangat menentukan jalannya sebuah rule. Jika kita memasang SRC-NAT dan WEB-PROXY pada mesin yang sama, sering kali agak sulit untuk membuat rule QUEUE yang sempurna. Penjelasan detail mengenai pemilihan CHAIN, dapat dilihat pada manual Mikrotik di sini.
Percobaan yang dilakukan menggunakan sebuah PC dengan Mikrotik RouterOS versi 2.9.28. Pada mesin tersebut, digunakan 2 buah interface, satu untuk gateway yang dinamai PUBLIC dan satu lagi untuk jaringan lokal yang dinamai LAN.

[admin@instaler] > in pr
Flags: X - disabled, D - dynamic, R - running
# NAME TYPE RX-RATE TX-RATE MTU
0 R public ether 0 0 1500
1 R lan wlan 0 0 1500

Dan berikut ini adalah IP Address yang digunakan. Subnet 192.168.0.0/24 adalah subnet gateway untuk mesin ini.

[admin@instaler] > ip ad pr
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 192.168.0.217/24 192.168.0.0 192.168.0.255 public
1 172.21.1.1/24 172.21.1.0 172.21.1.255 lan


Fitur web-proxy dengan transparan juga diaktifkan.

[admin@instaler] > ip web-proxy pr
enabled: yes
src-address: 0.0.0.0
port: 3128
hostname: "proxy"
transparent-proxy: yes
parent-proxy: 0.0.0.0:0
cache-administrator: "webmaster"
max-object-size: 4096KiB
cache-drive: system
max-cache-size: none
max-ram-cache-size: unlimited
status: running
reserved-for-cache: 0KiB
reserved-for-ram-cache: 154624KiB

Fungsi MASQUERADE diaktifkan, juga satu buah rule REDIRECTING untuk membelokkan traffic HTTP menuju ke WEB-PROXY

[admin@instaler] ip firewall nat> pr
Flags: X - disabled, I - invalid, D - dynamic
0 chain=srcnat out-interface=public
src-address=172.21.1.0/24 action=masquerade
1 chain=dstnat in-interface=lan src-address=172.21.1.0/24
protocol=tcp dst-port=80 action=redirect to-ports=3128

Berikut ini adalah langkah terpenting dalam proses ini, yaitu pembuatan MANGLE. Kita akan membutuhkan 2 buah PACKET-MARK. Satu untuk paket data upstream, yang pada contoh ini kita sebut test-up. Dan satu lagi untuk paket data downstream, yang pada contoh ini kita sebut test-down.

Untuk paket data upstream, proses pembuatan manglenya cukup sederhana. Kita bisa langsung melakukannya dengan 1 buah rule, cukup dengan menggunakan parameter SRC-ADDRESS dan IN-INTERFACE. Di sini kita menggunakan chain prerouting. Paket data untuk upstream ini kita namai test-up.

Namun, untuk paket data downstream, kita membutuhkan beberapa buah rule. Karena kita menggunakan translasi IP/masquerade, kita membutuhkan Connection Mark. Pada contoh ini, kita namai test-conn.

Kemudian, kita harus membuat juga 2 buah rule. Rule yang pertama, untuk paket data downstream non HTTP yang langsung dari internet (tidak melewati proxy). Kita menggunakan chain forward, karena data mengalir melalui router.

Rule yang kedua, untuk paket data yang berasal dari WEB-PROXY. Kita menggunakan chain output, karena arus data berasal dari aplikasi internal di dalam router ke mesin di luar router.

Paket data untuk downstream pada kedua rule ini kita namai test-down.

Jangan lupa, parameter passthrough hanya diaktifkan untuk connection mark saja.

[admin@instaler] > ip firewall mangle print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; UP TRAFFIC
chain=prerouting in-interface=lan
src-address=172.21.1.0/24 action=mark-packet
new-packet-mark=test-up passthrough=no

1 ;;; CONN-MARK
chain=forward src-address=172.21.1.0/24
action=mark-connection
new-connection-mark=test-conn passthrough=yes

2 ;;; DOWN-DIRECT CONNECTION
chain=forward in-interface=public
connection-mark=test-conn action=mark-packet
new-packet-mark=test-down passthrough=no

3 ;;; DOWN-VIA PROXY
chain=output out-interface=lan
dst-address=172.21.1.0/24 action=mark-packet
new-packet-mark=test-down passthrough=no

Untuk tahap terakhir, tinggal mengkonfigurasi queue. Di sini kita menggunakan queue tree. Satu buah rule untuk data dowstream, dan satu lagi untuk upstream. Yang penting di sini, adalah pemilihan parent. Untuk downstream, kita menggunakan parent lan, sesuai dengan interface yang mengarah ke jaringan lokal, dan untuk upstream, kita menggunakan parent global-in.

[admin@instaler] > queue tree pr
Flags: X - disabled, I - invalid
0 name="downstream" parent=lan packet-mark=test-down
limit-at=32000 queue=default priority=8
max-limit=32000 burst-limit=0
burst-threshold=0 burst-time=0s

1 name="upstream" parent=global-in
packet-mark=test-up limit-at=32000
queue=default priority=8
max-limit=32000 burst-limit=0
burst-threshold=0 burst-time=0s

Variasi lainnya, untuk bandwidth management, dimungkinkan juga kita menggunakan tipe queue PCQ, yang bisa secara otomatis membagi trafik per client.

Mendesain Jaringan Microsoft Windows Server 2003

Bagian ini akan menjelaskan beberapa hal yang berhubungan dengan layanan suatu jaringan, perencanaan dan protocol yang didukung Microsoft Windows 2003 Server. Selain itu Anda akan mengetahui bagaimana merencanakan suatu jaringan yang baik dengan Microsoft Windows 2003 Server. Kemudian pengetahuan Anda akan dibekali juga dengan pertimbangan-pertimbangan penting ketika mengembangkan suatu rencana implementasi.
Yang tidak kalah menariknya adalah pemahaman mengenai berbagai protocol jaringan yang digunakan oleh Microsoft Windows 2003 Server serta bagaimana protocol tersebut berhubungan dengan layanan-layanan dalam suatu jaringan.

1. Tinjauan Layanan Jaringan
Seperti halnya pendahulunya yaitu Microsoft Windows NT, Microsoft Windows 2003 Server menyediakan banyak layanan dan fasilitas jaringan yang dapat digunakan. Dalam hal ini Microsoft Windows 2003 Server menghadirkan teknologi-teknologi penting yang mampu menambahkan nilai baik bagi jaringan yang baru maupun yang sudah ada. Beberapa teknologi mesti diimplementasikan pada jaringan Anda agar bisa memakai layanan-layanan tertentu. Misalnya, Transmission Control Protocol/Internet Protocol (TCP/IP) harus diinstal agar dapat mengimplementasikan layanan Microsoft Windows 2003 Server Active Directory.
Untuk memahami lebih jauh mengenai teknologi tersebut di bagian ini saya akan memperkenalkan layanan-layanan jaringan Microsoft Windows 2003 Server dengan jelas dan lengkap sehingga Anda dapat mengetahuinya dengan baik.
Selain itu, saya juga akan memberikan gambaran teknologi tentang jaringan jarak jauh dengan fasilitas Routing and Remote Access pada Microsoft Windows 2003 Server, seperti NATs (Network Address Translators). Tidak hanya itu, Anda juga akan mengenal mengenai Microsoft Certificate Services.

1.1. TCP/IP
Ada banyak protocol jaringan yang didukung di dalam Microsoft Windows 2003 Server. Namun demikian TCP/IP adalah protocol utama yang dipakai di Microsoft Windows 2003 Server dan merupakan default protocol jaringan yang ada ketika Anda menginstal Microsoft Windows 2003 Server. Banyak layanan jaringan di Microsoft Windows 2003 Server ini memakai TCP/IP dan beberapa layanan, seperti Internet Information Server (IIS) dan Active Directory, mensyaratkannya untuk diinstal. TCP/IP merupakan suatu protocol yang dapat diarahkan yang dipakai oleh kebanyakan wide area network (WAN) dan Internet. Protocol lain, misalnya NetBEUI (NetBIOS Enhanced User Interface), dirancang hanya untuk local area network (LAN) sehingga tidak mendukung konektivitas Internet. Persoalan ini perlu dipertimbangkan ketika Anda merencanakan jaringan Anda.

1.2. Domain Name System
Kendati TCP/IP memakai Internet Protocol (IP) untuk meletakkan dan berhubungan ke host (komputer dan TCP/IP network device lainnya), para pemakai cenderung memakai nama-nama yang sudah dikenali. Misalnya, para pemakai lebih menyukai nama ftp.microsoft.com sebagai pengganti alamat IP-nya, yaitu 172.16.23.55. Domain Name System (DNS) memudahkan Anda untuk memakai nama-nama hirarki yang sudah dikenali untuk meletakkan komputer dan sumber daya yang lain secara mudah di sebuah jaringan IP.
DNS dipakai pada Internet untuk menyediakan suatu konvensi penamaan standar bagi penempatan komputer-komputer berbasis IP. Sebelum Anda mengimplementasikan DNS, file Hosts dipakai untuk meletakkan sumber daya pada jaringan TCP/IP termasuk Internet. Para administrator jaringan memasukkan nama dan alamat IP ke file Host dan komputer-komputer yang memakai file untuk resolusi nama.

1.3. Dynamic Host Configuration Protocol
DHCP (Dynamic Host Configuration Protocol) menyederhanakan pengurusan dan pengelolaan alamat-alamat IP pada sebuah jaringan TCP/IP dengan mengotomatiskan konfigurasi alamat untuk client-client jaringan. DHCP server ditentukan sebagai komputer apa saja yang mengoperasikan layanan DHCP. Windows Server 2003 menyediakan layanan DHCP Server, yang memungkinkan sebuah komputer berfungsi sebagai DHCP server dan mengonfigurasi komputer-kompuer client yang diaktifkan DHCP pada jaringan Anda. Gambar 1. Model DHCP dasar.

Keterangan
• DHCP (Dymanic Host Configuration Protocol) Server di Microsoft Windows 2003 Server menyediakan beberapa fasilitas, antara lain:
• Integrasi dengan DNS dan layanan direktori Microsoft Active Directory
• Pelaporan statistik dan pemantauan yang sudah ditingkatkan
• Dukungan kelas-pemakai dan pilihan-pilihan vendor spesifik
• Alokasi alamat multicast
• Deteksi DHCP server tunggal
Masing-masing komputer pada sebuah jaringan yang berbasis TCP/IP harus mempunyai sebuah alamat IP yang unik agar dapat mengakses jaringan dan sumber dayanya. Tanpa DHCP, konfigurasi IP harus dikerjakan secara manual bagi komputer-komputer yang baru, komputer-komputer yang dipindahkan dari satu sub jaringan ke sub jaringan lainnya, dan komputer-komputer yang dipindahkan dari jaringan. Dengan mengembangkan DHCP di sebuah jaringan, seluruh proses ini diotomatiskan dan dikelola secara sentral.

Implementasi DHCP dihubungkan sangat dekat dengan WINS (Windows Internet Name Service) dan DNS yang akan dimanfaatkan oleh administrator jaringan untuk menggabungkan ketiganya ketika merencanakan penyebaran. Jika Anda memakai DHCP Server untuk client jaringan Microsoft Windows, maka Anda harus memakai suatu layanan resolusi nama.
Jaringan Microsoft Windows 2003 Server memakai layanan DNS untuk mendukung Active Directory selain resolusi nama yang umum. Jaringan yang mendukung client Windows 2000 dan sebelumnya mesti memakai WINS server. Jaringan yang mendukung suatu kombinasi client Microsoft Windows 2003 Server dan Microsoft Windows 2000 harus mengimplementasikan baik WINS maupun DNS.

1.4. Windows Internet Name Service
WINS (Windows Internet Name Service) adalah sistem resolusi nama yang dipakai untuk sistem operasi Windows 2000 dan sebelumnya. WINS menyediakan suatu database yang didistribusikan untuk mendaftarkan dan menyangsikan sebuah nama komputer (yang sama seperti nama NetBIOS) ke pemetaan alamat IP dalam suatu lingkungan jaringan routed. Bila Anda sedang mengelola suatu jaringan routed, maka WINS merupakan pilihan terbaik Anda bagi resolusi nama NetBIOS. WINS mengurangi pemakaian siaran lokal untuk resolusi nama dan memungkinkan para pemakai meletakkan sistem-sistem secara mudah di jaringan yang terpencil. Dalam suatu lingkungan DHCP yang dinamis, alamat IP pada host dapat sering berubah. WINS menyajikan suatu cara untuk mendaftarkan secara dinamis perubahan-perubahan untuk nama komputer ke pemetaan alamat IP. Fasilitas ini diperlukan untuk nama yang menuju resolusi alamat IP agar bisa bekerja secara baik di sebuah lingkungan DHCP.

1.5. Resolusi Nama
Apakah jaringan Anda memakai DNS atau WINS, resolusi nama merupakan suatu bagian terpenting dari administrasi jaringan. Walaupun Windows 2003 Server terutama memakai DNS untuk mencocokkan nama-nama host dengan alamat IP, selain itu Microsoft Windows 2003 Server masih mendukung WINS untuk keperluan ini.
Resolusi nama membolehkan Anda untuk menyelidiki jaringan Anda dan berhubungan ke sumber daya dengan memakai nama-nama seperti ”printer1” atau ”fileserver1” ketimbang menghafalkan alamat IP host. Dengan mengingat alamat IP akan menjadi lebih tidak praktis ketika memakai DHCP untuk penugasan alamat karena penugasan dapat berubah sepanjang waktu. WINS diintegrasikan dengan layanan-layanan DHCP. Karena integrasi ini, kapan pun komputer yang Anda namai ”fileserver1” ditugaskan secara dinamis oleh alamat IP yang baru, perubahan pasti terjadi secara transparan. Saat Anda berhubungan ke fileserver1 dari node yang lain, Anda dapat memakai nama fileserver1 ketimbang alamat IP yang baru karena WINS tetap mengawasi perubahan alamat IP yang dihubungkan dengan nama itu.

1.6. Tinjauan Akses yang Jauh
Dengan fasilitas Microsoft Windows 2003 Server berupa RAS (Routing and Remote Access), client-client yang jauh dihubungkan secara transparan ke server yang jauh, yang dikenal sebagai konektivitas akses jauh point-to-point. Client-client dapat juga dihubungkan secara transparan ke jaringan yang menghubungkan routing dan server akses yang jauh. Hal ini dikenal sebagai konektivitas akses jauh point-to-LAN. Koneksi yang transparan ini memungkinkan client-client untuk menelepon dari sumber daya akses dan lokasi yang jauh seolah-olah mereka secara fisik dihubungkan ke jaringan.
Akses yang jauh pada Windows 2003 Server menyediakan dua tipe konektivitas akses yang jauh:
• Dial-up remote access. Dengan dial-up remote access, suatu client akses yang jauh memakai infrastruktur telekomunikasi untuk membuat sirkuit sesungguhnya yang temporer atau sirkuit maya ke sebuah port di sebuah server akses yang jauh. Ketika sirkuit maya atau sesungguhnya dibuat, sisa parameter koneksi dapat dinegosiasi.
• Virtual private network remote access. Dengan akses jauh virtual private network (VPN), suatu client VPN memakai antar jaringan IP untuk membuat koneksi point-to-point yang bersifat maya dengan server akses jauh yang bertindak sebagai VPN server. Saat koneksi point-to-point yang maya dibuat, sisa parameter koneksi dapat dinegosiasi.

1.7. Unsur-unsur Koneksi Dial-Up Remote Access
Windows 2003 Server Routing and Remote Access Service mampu menerima koneksi dial-up dan menyampaikan paket-paket di antara jaringan dan client akses yang jauh yang menghubungkan server akses yang jauh. Suatu koneksi yang jauh terdiri dari sebuah client akses yang jauh, suatu infrastruktur WAN, dan suatu server akses yang jauh

1.8. Remote Access Protocol
Remote Access Protocol mengontrol penentuan koneksi dan transmisi data pada hubungan-hubungan WAN. Protocol LAN dan sistem operasi yang dipakai pada server dan client akses yang jauh mendikte protocol akses yang jauh manakah yang dapat dipakai oleh client-client Anda.
Ada tiga tipe protocol akses jauh yang didukung oleh Windows 2003 Server Routing and Remote Access:
• Point-to-Point Protocol (PPP) adalah seperangkat protocol berstandar industri yang menyediakan interoperability, dukungan multiprotocol, dan keamanan terbaik.
• Serial Line Internet Protocol (SLIP) dipakai oleh warisan server-server akses yang jauh.
• Microsoft Remote Access Service Protocol, yang dikenal juga sebagai Asynchronous NetBEUI (AsyBEUI), merupakan protocol akses yang jauh yang dipakai oleh warisan client-client akses yang jauh yang mengoperasikan sistem operasi Microsoft, misalnya Windows NT 3.1, Windows for Workgroups, MS-DOS, dan LAN Manager.
Protocol-protocol LAN adalah protocol yang dipakai oleh client akses yang jauh untuk mengakses sumber daya pada jaringan yang dihubungkan ke server akses yang jauh. Akses yang jauh pada Windows 2003 Server mendukung TCP/IP, IPX, AppleTalk, dan NetBEUI.

Untuk mengonfigurasi RAS (Routing and Remote Access) server langkah yang harus Anda lakukan adalah sebagai berikut:
1. Klik Start
2. Klik Programs
3. Klik Administrative Tools
4. Klik Routing And Remote Access. Muncul piranti-piranti manajemen Routing And Remote Access di dalam Microsoft Management Console
5. Klik kanan server di jendela kiri
6. Klik Configure and Enable Routing and Remote Access sebagaimana dipaparkan di Gambar 3 di atas. Muncul Routing and Remote Access Server Setup Wizard yang memungkinkan Anda untuk menentukan informasi konfigurasi server.

1.9. Network Address Translator
Ada dua tipe alamat IP: umum dan pribadi. Alamat umum diberikan kepada Anda oleh Internet Service Provider (ISP) yang Anda pakai untuk berhubungan ke Internet. Bagi host di dalam organisasi yang tidak memerlukan akses langsung ke Internet, alamat IP yang tidak menduplikasi alamat umum yang sudah diberikan memang dibutuhkan. Untuk memecahkan persoalan alamat ini, para desainer Internet mencadangkan suatu bagian dari ruang alamat IP dan menamai ruang ini sebagai ruang alamat pribadi. Suatu alamat IP pada ruang alamat pribadi tidak pernah diberikan sebagai alamat umum. Alamat IP di dalam ruang alamat pribadi dikenal sebagai alamat pribadi. Dengan memakai alamat IP pribadi, Anda dapat memberikan proteksi dari para hacker jaringan.

Karena alamat IP pada ruang alamat pribadi tidak akan pernah diberikan oleh Internet Network Information Center (InterNIC) sebagai alamat umum, maka route di dalam Internet router untuk alamat pribadi takkan pernah ada. Alamat pribadi tidak dapat dijangkau di dalam Internet. Oleh karena itu, saat memakai alamat IP pribadi, Anda membutuhkan beberapa tipe proxy atau server untuk mengonversi sejumlah alamat IP pribadi pada jaringan lokal Anda menjadi alamat IP umum yang dapat di-routed. Pilihan lain adalah menerjemahkan alamat pribadi menjadi alamat umum yang valid dengan network address translator (NAT) sebelum dikirimkan di Internet. Dukungan bagi NAT untuk menerjemahkan alamat umum dan alamat pribadi memungkinkan terjadinya koneksi jaringan-jaringan kantor-rumah atau kantor yang kecil ke Internet.

Sebuah NAT menyembunyikan alamat-alamat IP yang dikelola secara internal dari jaringan-jaringan eksternal dengan menerjemahkan alamat internal pribadi menjadi alamat eksternal umum. Hal ini mengurangi biaya registrasi alamat IP dengan cara membiarkan para pelanggan memakai alamat IP yang tidak terdaftar secara internal melalui suatu terjemahan ke sejumlah kecil alamat IP yang terdaftar secara eksternal. Hal ini juga menyembunyikan struktur jaringan internal, mengurangi resiko penolakan serangan layanan terhadap sistem internal.

1.10. Layanan-layanan Sertifikat
Perencanaan suatu sistem keamanan yang tepat untuk memproteksi informasi pemilik dan rahasia organisasi Anda memerlukan pengembangan seperangkat solusi yang tepat bagi skenario risiko tertentu. Windows 2003 Server memberikan sejumlah teknologi yang bisa dipilih dalam mengembangkan rencana keamanan Anda. Salah satu teknologi tersebut adalah Microsoft Certificate Services. Anda dapat menyebarkan Microsoft Certificate Services untuk membuat dan mengelola Certificate Authorities (CAs) yang menerbitkan sertifikat-sertifikat digital.
Sertifikat-sertifikat digital adalah surat kepercayaan elektronik yang menerangkan identitas online tentang individu, organisasi, dan komputer.
Sertifikat berfungsi mirip dengan kartu identitas, misalnya paspor dan surat izin mengemudi. Ketika suatu kartu identitas ditunjukkan ke orang lain, kartu tersebut dapat menerangkan identitas pemiliknya karena kartu itu menyajikan sejumlah manfaat keamanan berikut ini:
• Berisi informasi pribadi untuk menolong mengidentifikasi dan melacak pemilik.
• Berisi tanda tangan pemilik yang sesungguhnya untuk membolehkan terjadinya identifikasi yang positif.
• Berisi informasi yang diperlukan untuk mengidentifikasi dan menghubungi pihak berwenang yang mengeluarkannya.
• Didesain agar menjadi semacam penangkal yang resisten dan sulit dipalsukan.
• Dikeluarkan oleh suatu pihak yang berwenang yang dapat mencabut kartu identifikasi itu kapan saja (misalnya, jika kartu itu dicuri atau disalahgunakan).
• Dapat diperiksa untuk dilakukan pembatalan dengan menghubungi pihak berwenang yang mengeluarkannya.
• Sertifikat digital dapat dipakai dengan cara yang sama untuk menyediakan sejumlah fungsi keamanan. Beberapa fungsi keamanan yang lazim dari sertifikat digital meliputi:
• E-mail yang aman
• Komunikasi yang aman di antara server dan client Web
• Memberikan kode terhadap kode yang dapat dieksekusi untuk distribusi di jaringan umum
• Pembuktian logon akses jarak jauh dan jaringan lokal
• Pembuktian IPS
• Certificate Services menyediakan suatu sarana bagi kegiatan usaha untuk menetapkan CAs secara mudah dalam mendukung kebutuhan bisnis tersebut. Certificate services memberikan suatu default modus kebijaksanaan yang cocok untuk menerbitkan sertifikat bagi entitas kegiatan usaha seperti pemakai, mesin, atau layanan.

Catatan: Windows 2003 Server memberikan teknologi-teknologi penting yang menambahkan nilai baik bagi jaringan-jaringan berbasis TCP/IP yang baru maupun yang sudah ada. Kendati TCP/IP memakai IP untuk meletakkan dan berhubungan dengan host, para pemakai lebih menyukai memakai nama-nama yang sudah dikenali. DNS membolehkan Anda memakai nama-nama hierarkis yang sudah dikenali untuk meletakkan komputer dan sumber daya lainnya di suatu jaringan IP. DHCP menyederhanakan proses pengurusan dan pengelolaan alamat-alamat IP pada suatu jaringan TCP/IP dengan mengotomatiskan konfigurasi alamat bagi client-client jaringan. WINS menyediakan suatu database yang terdistribusi untuk mendaftarkan dan menyangsikan sebuah nama komputer (yang ternyata sama dengan nama NetBIOS) ke pemetaan alamat IP dalam suatu lingkungan jaringan yang di-routed. Dengan Windows 2003 Server Routing and Remote Access Service, client secara transparan dihubungkan ke server akses yang jauh. Client dapat *** dihubungkan secara transparan ke jaringan yang menghubungkan routing dan server akses yang jauh.

2. Mengembangkan Rencana Implementasi Jaringan
Pelaksanaan teknologi-teknologi baru di lingkungan jaringan perusahaan memerlukan penelitian, perencanaan, pembuktian, dan pendanaan. Untuk memperoleh manfaat terbesar dari Windows 2003 Server, Anda perlu merencanakan penyebaran Anda secara teliti. Sewaktu Anda memulai perencanaan penyebaran sistem operasi Windows 2003 Server, Anda mesti memahami fasilitas-fasilitasnya sehingga Anda dapat memanfaatkannya demi keuntungan Anda. Hal ini akan menolong orang di dalam organisasi Anda untuk meningkatkan produktivitas dan akan mengurangi total cost of ownership (TCO). Pada bagian ini Anda akan belajar bagaimana merencanakan implementasi jaringan berbasis Microsoft Windows 2003 Server.

Saat merencanakan jaringan Windows 2003 Server, Anda harus mempertimbangkan sistem operasi yang didasarkan pada kebutuhan-kebutuhan para pemakai dan persyaratan bisnis. Misalnya, bila server jaringan Anda mengoperasikan aplikasi-aplikasi yang menuntut memori intensif dan prosesor intensif, maka penerapan Windows 2003 Server merupakan pilihan Anda yang terbaik. Anda mesti meninjau fasilitas-fasilitas teknologi Windows 2003 Server tertentu untuk menentukan teknologi manakah yang terpenting bagi organisasi Anda sambil mempertimbangkan tujuan-tujuan jangka pendek, jangka menengah, dan jangka panjang pada organisasi Anda.
Microsoft Windows Server 2003 menciptakan fasilitas-fasilitas andal dari sistem operasi Windows NT Server 4.0 dan Microsoft Windows 2000 Server. Microsoft Windows Server 2003 memadukan layanan-layanan cetakan, file, komunikasi, aplikasi, Web, dan direktori berbasis standar dengan realibilitas yang tinggi, manajemen yang efisien, dan dukungan bagi perkembangan terbaru dalam hardware jaringan untuk menyediakan fondasi terbaik demi menggabungkan bisnis Anda dengan Internet.
Fasilitas yang dimaksud adalah:
• Information Service (IIS)
• Lingkungan pemrograman Active Server Pages (ASP)
• Microsoft .NET Framework
• Object Model + (COM+)
• Multimedia platform
• Web Server
• E-mail Server
• Pencetakan Internet
• Dan lain-lain

Persyaratan hardware minimal Microsoft Windows Server 2003 adalah sebagai berikut:
CPU yang kompatibel dengan Pentium IV atau yang lebih tinggi.
• Minimal RAM 128 MB dianjurkan di atas 256 MB.
• Harddisk 2 GB. Anda harus mempunyai ruang disk kosong minimal 1 GB untuk menginstal Windows Server 2003. Ruang harddisk kosong tambahan diperlukan kalau Anda sedang menginstal di sebuah jaringan.
Catatan: Pastikan untuk menyediakan waktu yang cukup untuk menginstal Windows Server 2003, karena proses instal itu bisa menyita waktu beberapa jam.

2.1. Fase-fase Penyebaran
Tujuan proses perencanaan jaringan Windows 2003 Server Anda adalah untuk memastikan bahwa jaringan Anda mengerjakan aktivitas-aktivitas yang diperlukan. Saat merencanakan penyebaran jaringan Microsoft Windows 2003 Server, Anda mesti mengikuti suatu proses atau siklus kehidupan. Fase-fase siklus kehidupan proyek ini harus mencakup:
• Analisa. Selama fase analisa, tentukan tujuan dan sasaran IT. Hal ini akan menolong Anda mendesain suatu jaringan untuk mendukung bandwidth, memenuhi kebutuhan keamanan, mengukur pengeluaran versus keuntungan, dan menyediakan penyampaian yang cocok bagi organisasi Anda.
• Desain. Selama fase desain, Anda mengevaluasi desain infrastruktur Windows 2003 Server. Hal ini mencakup fasilitas-fasilitas seperti DNS, WINS, DHCP, dan protocol jaringan. Desain Anda akan didasarkan pada fasilitas yang diinginkan, persoalan interoperability, dan analisa Anda.
• Pengujian. Selama fase pengujian, Anda melaksanakan suatu proyek percontohan untuk menguji jaringan Windows 2003 Server yang Anda desain dalam suatu lingkungan produksi dengan sejumlah kecil pemakai. Anda mungkin harus mengatur desain Anda yang didasarkan pada hasil-hasil pengujian proyek percontohan demi mencapai suatu lingkungan jaringan yang benar-benar stabil dan fungsional.
• Produksi. Fase produksi adalah fase final dari penyebaran Windows 2003 Server. Jaringan sudah diuji dengan memakai program proyek percontohan yang didasarkan pada desain Anda dan Anda siap untuk menyebarkan Windows 2003 Server ke seluruh kegiatan usaha Anda. Selama fase ini, Anda membuat program pemulihan dari kerusakan dan menyediakan bahan-bahan pelatihan bagi para pemakai dan orang yang bekerja di belakang meja.

2.2. Pertimbangan-pertimbangan Hardware
Sebelum mengupgrade semua komputer dan Server di kantor Anda ke Microsoft Windows 2003 Server, Anda harus mencatat inventaris hardware dan software dari semua komputer client dan server yang dipakai pada jaringan Anda dan memasukkan seting BIOS (basic input/output system). Anda juga harus mencatat konfigurasi dari peripheral device, driver version, service pack, dan informasi perusahaan serta software lainnya. Selain itu, tentukan konfigurasi standar untuk server dan client Anda. Hal ini meliputi pedoman untuk nilai-nilai minimal dan yang dianjurkan bagi CPU, RAM, hard disk, dan aksesoris seperti drive CD-ROM dan UPS (uninterruptible power supplies).
Pastikan bahwa device jaringan, misalnya hub dan cabling, cukup cepat untuk memenuhi kebutuhan Anda. Bila organisasi Anda mentransfer suara dan video pada jaringan Anda, maka cabling dan switch harus sanggup menangani tuntutan bandwidth dari layanan tersebut. Beberapa pemakai yang jauh tidak banyak menghasilkan lalu lintas jaringan. Misalnya, seorang pemakai yang jauh yang bekerja dengan file-file Microsoft Word atau Microsoft Excel tidak menghasilkan lalu lintas jaringan ke routing dan remote access server sebanyak sistem-sistem database dan akunting. Oleh karena itu, kabel Category 3 10-Mbps yang dipasangkan dengan hub berkecepatan sama mungkin dapat diterima untuk beberapa situasi, sedangkan cabling dan device Category 5 100-Mbps mungkin diperlukan untuk aplikasi-aplikasi yang menghasilkan lebih banyak lalu lintas jaringan. Cobalah mencatat bandwidth yang tersedia selama penggunaan jaringan yang rendah, normal, dan tinggi.

2.3. Interaksi dengan Sistem-sistem Peninggalan
Kebanyakan jaringan bersifat heterogen, yang berarti bahwa ada suatu campuran dari sistem operasi dan protocol jaringan. Misalnya, komputer-komputer Windows 2003 Server Anda mungkin berinteraksi dengan mainframe host, sistem UNIX, atau sistem operasi jaringan lainnya. Anda harus berkonsentrasi pada persoalan-persoalan interoperability yang sangat penting bagi organisasi Anda selama perencanaan.
Selain itu, Windows Server 2003 menawarkan layanan-layanan gateway ke sistem operasi lain yang membolehkan Anda untuk mengakses sumber daya jaringan. Gateway Service for NetWare, misalnya, membolehkan client jaringan Windows 2003 Server Anda menelusuri hierarki-hierarki Novell Directory Services, memakai logon script Novell versi 4.2 atau yang lebih baru, dan membuktikan keasliannya dengan Novell server.

2.4. Pertimbangan-pertimbangan Protocol Jaringan
Beberapa jaringan memakai berbagai protocol yang didasarkan pada kebutuhannya. Misalnya, jaringan Ethernet yang kecil dapat memakai NetBEUI sebagai protocol LAN ketika sedang memakai TCP/IP untuk konektivitas Internet. Selain itu, jaringan yang menyajikan baik Novell NetWare maupun Windows NT server bisa memakai IPX/SPX sekaligus TCP/IP. Biasakan selalu mengidentifikasi protocol-protocol yang dipakai pada jaringan yang aktual dan pertimbangkan apakah salah satu dari protocol tersebut dapat digantikan atau disingkirkan oleh Windows 2003 Server.
Microsoft Windows 2003 Server menyediakan TCP/IP protocol yang lebih mengutamakan fungsionalitas dibanding Windows versi sebelumnya. Anda harus memakai TCP/IP untuk memakai Active Directory dan memanfaatkan fasilitas-fasilitas tingkat tinggi pada Windows 2003 Server. Oleh karena itu, Anda mesti mempertimbangkan penyederhanaan jaringan Anda dengan memakai hanya TCP/IP.
Anda dapat memperoleh informasi protocol dan seting jaringan di dalam Microsoft Windows NT dengan mengklik kanan pada ikon My Network Places di desktop Anda dan memilih Properties.
Catatan: Anda mesti merencanakan penyebaran Anda secara teliti demi memperoleh manfaat terbesar dari Windows 2003 Server dan hati-hati terhadap sistem operasi Windows 2003 Server yang berbeda. Suatu penyebaran jaringan perusahaan terdiri atas fase-fase yang berlainan dari suatu siklus kehidupan proyek: analisa, desain, pengujian, dan prosedur. Sebelum penyebaran Windows 2003 Server, catatlah inventaris hardware dan software dari seluruh komputer client dan server yang dipakai pada jaringan Anda. Selain itu, pertimbangkan persoalan-persoalan interoperability dan putuskan protocol terbaik manakah yang cocok dengan kebutuhan-kebutuhan Anda.

3. Protocol yang Didukung Windows 2003 Server
Ketika merencanakan jaringan Anda, pertimbangkan persyaratan-persyaratan konektivitas dari para pemakai Anda. Protocol jaringan mirip dengan bahasa dalam arti bahwa bahasa mempunyai tanda baca, pola-pola kata, dan kata-kata yang berbeda. Suatu protocol jaringan memainkan peran yang serupa bagi komputer-komputer yang sedang berusaha untuk berkomunikasi. Protocol jaringan yang dipakai pada suatu jaringan menentukan bagaimana paket (unit-unit data) dikonfigurasi dan dikirim ke kabel jaringan. Pertimbangkan pertanyaan-pertanyaan berikut:
• Apakah para pemakai jaringan berhubungan ke Novell NetWare server? Client yang berhubungan ke NetWare server harus memakai protocol NWLink. Sekalipun NetWare server dikonfigurasi untuk memakai TCP/IP, client-client yang berbasis Windows harus memakai NWLink untuk saling berkomunikasi.
• Apakah jaringan Anda dihubungkan oleh router? NETBEUI tidak termasuk routable. Bagi komputer-komputer yang berkomunikasi pada router, komputer tersebut mesti memakai protocol jaringan routable seperti TCP/IP atau NWLink.
• Apakah Anda dihubungkan ke Internet? Bagi client-client yang berhubungan ke Internet, client tersebut harus memakai protocol TCP/IP.
• Selain itu, beberapa fasilitas mensyaratkan bahwa protocol tertentu diinstal. Bila Anda ingin mengimplementasikan Active Directory, memakai IIS, atau menyediakan client dengan akses ke Internet, maka Anda perlu menginstal TCP/IP. Di sini saya akan menguraikan secara sederhana dan singkat mengenai protocol TCP/IP dan protocol lain yang dapat Anda pakai dengan Microsoft Windows 2003 Server.

3.1. Transmission Control Protocol/Internet Protocol
Transmission Control Protocol/Internet Protocol (TCP/IP) adalah seperangkat protocol standar industri yang dirancang untuk jaringan-jaringan yang besar. TCP/IP termasuk routable, yang berarti bahwa paket-paket data dapat ditukar (di-routed ke subnet yang berbeda) dengan memakai alamat tujuan paket. Kemampuan TCP/IP yang di-routed menghasilkan toleransi kesalahan, yang merupakan kemampuan suatu komputer atau sistem operasi menanggapi kesalahan atau peristiwa bencana, misalnya kerusakan hardware atau daya, untuk memastikan bahwa data tidak rusak atau hilang. Kalau terjadi kegagalan jaringan, maka paket-paket TCP/IP ditransportasikan ke route yang berbeda.

Meskipun tujuan awal TCP/IP adalah menyediakan hubungan di antara jaringan-jaringan yang terpisah, TCP/IP sekarang menyajikan hubungan-hubungan jaringan komunikasi yang berkecepatan tinggi di antara jaringan-jaringan. Microsoft sudah mengimplementasikan TCP/IP sebagai suatu transport jaringan standar untuk Windows 2003 Server.

3.2. Manfaat Mengimplementasikan TCP/IP
TCP/IP di dalam Windows 2003 Server menyajikan banyak peningkatan unjuk kerja untuk jaringan yang memiliki bandwidth tinggi.

3.2.1. Dukungan Jendela yang Besar
Ukuran jendela di dalam komunikasi berbasis TCP adalah jumlah maksimal dari paket-paket yang dapat dikirimkan sebelum paket pertama harus dikenali. Ukuran jendela diukur dan ditetapkan secara khusus di awal suatu sesi di antara host pengirim dan host penerima. Dengan dukungan jendela yang besar, ukuran jendela dikalkulasi ulang dan dibesarkan secara dinamis jika sejumlah besar paket diganti selama suatu sesi yang panjang. Hal ini akan membesarkan bandwidth dan memungkinkan lebih banyak paket data berada di dalam transit pada jaringan dalam suatu waktu.

3.2.2. Pengakuan Selektif
Dengan pengakuan selektif, penerima dapat memberitahukan dan meminta paket-paket tertentu yang hilang atau rusak selama pengiriman dari pengirim. Hal ini memungkinkan jaringan diperbaiki secara cepat dari suatu keadaan kemacetan temporer atau interferensi, karena hanya paket-paket yang rusak saja yang dikirimkan ulang. Pada implementasi TCP/IP sebelumnya, bila host penerima gagal menerima paket TCP tunggal, maka pengirim dipaksa untuk mentransmisi ulang semua paket yang sudah ditransmisi mengikuti paket yang diakui secara negatif. Dengan memakai pengakuan selektif, paket yang dikirimkan menjadi hanya sedikit, yang mengakibatkan unjuk kerja dan pemanfaatan jaringan menjadi lebih baik.

3.2.3. Perkiraan Round Trip Time
Round Trip Time (RTT) adalah jumlah waktu yang dibutuhkan untuk komunikasi bolak-balik di antara seorang pengirim dan penerima pada koneksi berbasis TCP. Perkiraan RTT merupakan suatu teknik yang mengestimasi waktu transit paket dan mengatur waktu transmisi ulang yang optimal untuk paket. Karena unjuk kerja tergantung pada pengetahuan tentang berapa lama harus menunggu paket yang hilang, yang meningkatkan keakuratan hasil perkiraan RTT dalam ukuran waktu yang lebih baik yang di-set pada setiap host, maka host tidak dapat meminta suatu paket yang ditransmisi ulang sampai perjalanan bolak-balik interval waktu yang dibutuhkan habis. Pengaturan waktu yang lebih baik mampu meningkatkan unjuk kerja pada hubungan jaringan bolak-balik yang lama, misalnya WAN, yang menjangkau jarak-jarak yang jauh (misalnya, benua ke benua) atau memakai entah hubungan satelit ataupun hubungan tanpa kabel.

3.2.4. Dukungan IP Security (IP Sec)
IPSec menyediakan platform yang ideal untuk komunikasi-komunikasi Internet dan intranet yang dilindungi. IPSec dapat melindungi path di antara dua komputer, dua pintu gerbang keamanan, atau suatu host dan pintu gerbang keamanan. Windows Server 2003 memadukan IPSec dengan manajemen kebijaksanaan sistem untuk melaksanakan enkripsi di antara sistem-sistem. Para pelanggan dapat mengadakan komunikasi yang dilindungi enkripsi yang dikelola oleh kebijaksanaan grup – suatu pelindung yang memproteksi informasi yang dikirimkan pada jaringan. Karena IPSec dipadukan dengan sistem operasi, maka jauh lebih mudah mengonfigurasi dan mengelola dibanding solusi yang tambal sulam.
Layanan-layanan yang tersedia dan dibutuhkan untuk lalu lintas data dikonfigurasi dengan memakai IPSec. Kebijaksanaan IPSec dapat dikonfigurasi secara lokal pada suatu komputer atau dapat ditugaskan melalui mekanisme Windows 2003 Server Group Policy dengan memakai layanan direktori Active Directory seperti ditampilkan Gambar 5.

Ketika memakai Active Directory, host mendeteksi penugasan kebijaksanaan pada startup, memanggil kebijaksanaan itu, dan secara berkala mengecek kebijaksanaan yang di-upgrade. Kebijaksanaan IPSec menentukan hubungan yang dipercaya di antara komputer-komputer. Hubungan kepercayaan yang paling mudah dipakai adalah kepercayaan domain Windows 2003 Server yang didasarkan pada protocol Kerberos versi 5. Kebijaksanaan IPSec yang ditentukan sebelumnya akan dikonfigurasi untuk komputer-komputer pada domain Windows 2003 Server yang sama atau domain Windows 2003 Server lainnya.

Pada layer IP (jaringan), setiap paket yang masuk atau keluar dianggap sebagai suatu datagram. Masing-masing datagram IP mengemban alamat IP sumber dari pengirim dan alamat IP tujuan dari penerima yang dimaksud. Masing-masing datagram IP yang diproses pada layer IP dibandingkan dengan seperangkat filter yang disediakan oleh kebijaksanaan keamanan, yang dipelihara oleh seorang administrator untuk sebuah komputer, pemakai, grup, atau seluruh domain.
Layer IP dapat mengerjakan salah satu dari kegiatan berikut ini dengan sebuah datagram:
• Menyediakan layanan-layanan IPSec ke datagram
• Mengizinkan datagram untuk dibiarkan tidak dimodifikasi
• Membuang datagram

Karena IPSec secara khusus meng-enkripsi seluruh paket IP, maka proses pengambilan datagram IPSec yang dikirimkan sesudah SA (Security Association) ditetapkan akan mampu mengungkapkan sedikit apa yang sesungguhnya terjadi di dalam datagram. Bagian-bagian tertentu dari paket itu yang dapat diuraikan atau dibaca oleh suatu sniffer jaringan seperti Network Monitor hanyalah header IP dan header Ethernet. Hal ini memberikan keamanan yang lebih sempurna ke transaksi-transaksi IP.

3.2.5. Generic Quality of Service
GQoS (Generic Quality of Service) adalah suatu metode yang di dalamnya suatu jaringan TCP/IP menawarkan jaminan Quality of Service untuk aplikasi-aplikasi multimedia. General Quality of Service mengalokasikan bandwidth yang berbeda bagi setiap koneksi berdasarkan kebutuhan dasar.
Quality of Service (QoS) membolehkan administrator jaringan memakai sumber daya yang sudah ada secara efisien dan menjamin bahwa aplikasi-aplikasi yang penting mampu menerima layanan bermutu tinggi tanpa harus mengexpand atau mengupgrade jaringan secara cepat. Dengan menyebarkan QoS berarti bahwa administrator jaringan dapat mempunyai kontrol yang lebih baik terhadap jaringan mereka, memperkecil pengeluaran, dan meningkatkan kenyamanan. Rangkaian komponen-komponen QoS yang disertakan di dalam Microsoft Windows 2003 Server mampu beroperasi dengan mekanisme QoS yang berbeda yang dapat berada dalam elemen-elemen jaringan seperti router dan switch. Mekanisme host tersebut memberikan administrator suatu gagasan tentang aplikasi manakah yang dipakai dan apa saja persyaratan sumber dayanya tanpa harus mengkalkulasi pemetaan di antara alamat, port jaringan, dan pemakai sesungguhnya. Ketika host dan jaringan beroperasi secara kooperatif, sumber daya dapat dipergunakan secara mudah dan dapat lebih diketahui.
Komponen-komponen QoS di bawah ini disertakan di dalam sistem operasi Windows 2003 Server:
• QoS (Generic Quality of Service) API (Application Programming Interface) merupakan subrangkaian dari WinSock 2 API yang membolehkan aplikasi meminta layanan-layanan QoS dari sistem operasi tanpa perlu memahami mekanisme yang mendasarinya.
• QoS service provider. Hal ini menanggapi permintaan dari GQoS API. Komponen ini menyediakan pemberian isyarat RSVP (Resource Reservation Protocol) dan dukungan kebijaksanaan QoS dengan Kerberos. Komponen ini juga meminta mekanisme kontrol lalu lintas. • Layanan ACS (Admission Control Service) dan protocol SBM (Subnet Bandwidth Manager). Komponen ini menyediakan manajemen sumber daya jaringan yang dipakai bersama-sama pada suatu protocol pemberian isyarat yang distandarisasikan.
• Infrastruktur kontrol lalu lintas. Infrastruktur ini menyertakan penanda dan penjadwalan paket untuk menyediakan kontrol lalu lintas pada driver card dan network card yang tidak memiliki fasilitas penjadwalan paket. Infrastruktur ini juga menandai paket-paket diffserv dan 802.lp. Kontrol lalu lintas Windows 2003 Server menyediakan *** mekanisme tambahan seperti ISSLOW (Integrated Services over Slow Links) dan ATM (Asynchronous Transfer Mode).
Microsoft bisa beroperasi sangat baik dengan Cisco dalam pengiriman layanan-layanan QoS kualitatif dan sudah lama mampu beroperasi dengan 3Com, Sun, Intel, Extreme Network, Cisco, dan lain-lain dalam pengembangan standar IETF (Internet Engineering Task Force) RSVP yang masih terus berlangsung.

3.3. NWLink
NWLink adalah suatu protocol IPX/SPX untuk Windows 2003 Server yang kompatibel dengan Microsoft. NWLink bermanfaat jika terdapat program Novell NetWare client/server yang sedang beroperasi yang memakai WinSock atau NetBIOS pada protocol IPX/SPX. WinSock adalah API yang memungkinkan aplikasi berbasis Windows mengakses protocol transport. NWLink dapat dioperasikan pada suatu komputer yang mengoperasikan Windows Server 2003 untuk mengakses NetWare server.
NWLink itu sendiri tidak membolehkan sebuah komputer yang sedang mengoperasikan Windows 2003 Server mengakses file-file atau printer yang dipakai bersama-sama pada NetWare server atau bertindak sebagai file atau print server ke NetWare client. Untuk mengakses file atau printer pada NetWare server, sebuah redirector harus dipakai, seperti Client Service for NetWare pada Windows 2003 Server atau Gateway Service for NetWare pada Microsoft Windows Server 2003. NWLink disertakan dalam Windows Server 2003 dan terinstal secara otomatis selama instalasi Client Service for NetWare atau Gateway Service for NetWare. Baik Client Service for NetWare maupun Gateway Service for NetWare tergantung pada protocol NWLink.

3.4. Gateway Service for NetWare
Gateway Service for NetWare mampu beroperasi dengan NWLink untuk menyediakan akses ke layanan-layanan direktori, print, dan file dengan bertindak sebagai suatu pintu gerbang yang di dalamnya banyak client dapat mengakses sumber daya NetWare. Dengan Gateway Service for NetWare, Anda dapat menghubungkan suatu komputer yang sedang mengoperasikan Windows Server 2003 dengan server berbasis NetWare bindery dan server Novell NDS. Banyak client berbasis Windows kemudian dapat memakai Gateway Service for NetWare sebagai suatu pintu gerbang yang lazim untuk mengakses layanan-layanan direktori, print, dan file NetWare tanpa memerlukan software client khusus.
Gateway Service for NetWare mendukung akses langsung ke layanan-layanan NetWare dari komputer yang sedang mengoperasi-kan Windows Server 2003 melalui cara yang sama seperti Client Service for NetWare mendukung akses langsung dari komputer client. Selain itu, Gateway Service for NetWare mendukung script login NetWare.
Catatan: Gateway Service for NetWare hanya disertakan di dalam Windows Server 2003 dan Windows 2003 Server Advanced Server.

3.5. NetBEUI
NetBIOS Enhanced User Interface (NetBEUI) pada awalnya dikembangkan sebagai suatu protocol untuk LAN departemen kecil yang terdiri dari 20 sampai 200 komputer. NetBEUI tidak termasuk routable karena NetBEUI tidak mempunyai sebuah layer jaringan. NetBEUI disertakan dalam Windows Server 2003 dan merupakan suatu protocol peninggalan untuk mendukung workstation yang sudah ada yang belum di-upgrade.

3.6. AppleTalk
AppleTalk merupakan serangkaian protocol yang dikembangkan oleh Apple Computer Inc. untuk komunikasi di antara komputer-komputer Apple Macintosh. Windows 2003 Server menyediakan dukungan untuk AppleTalk, yang memungkinkan Windows 2003 Server berfungsi sebagai router dan dial-up server. Dukungan disediakan secara otomatis sebagai suatu layanan untuk file dan printer yang dipakai bersama-sama.
Windows 2003 Server mendukung AppleTalk protocol stack dan AppleTalk routing software, sehingga server Windows 2003 Server dapat berhubungan dengan dan menyediakan routing untuk jaringan-jaringan Macintosh yang berbasis AppleTalk.

3.7. Data Link Control
Data Link Control (DLC) pada awalnya dikembangkan untuk komunikasi mainframe IBM. Protocol tidak dirancang untuk menjadi protocol primer bagi pemakaian jaringan di antara komputer-komputer pribadi. Pemakaian lain DLC adalah untuk mencetak ke printer-printer Hewlett-Packard yang dihubungkan secara langsung ke jaringan-jaringan. Printer yang dicantelkan ke jaringan memakai protocol DLC karena frame yang diterima akan mudah untuk dicopot dan fungsionalitas DLC dapat dikodekan dengan mudah menjadi read-only memory (ROM). Manfaat DLC tidak terbatas karena DLC tidak secara langsung ber-interface dengan layer Transport Driver Interface. DLC perlu diinstal hanya pada komputer-komputer jaringan yang mengerjakan dua tugas, seperti server print yang sedang mengirimkan data ke suatu printer Hewlett-Packard jaringan. Client yang sedang mengirimkan tugas-tugas print ke suatu printer jaringan tidak membutuhkan protocol DLC yang diinstal pada komputernya. Hanya server print yang sedang berkomunikasi secara langsung dengan printer yang memerlukan protocol DLC yang diinstal.

3.8. Infrared Data Association
Infrared Data Association (IrDA) menentukan sekelompok protocol infra merah tanpa kabel ke dua arah, berkecepatan tinggi, dan memiliki jangkauan pendek, yang pada umumnya dianggap sebagai IrDA. IrDA memungkinkan berbagai device untuk berkomunikasi satu sama lain. Kamera, printer, komputer portabel, komputer desktop, dan personal digital assistants (PDAs) dapat berkomunikasi dengan device yang kompatibel dengan memakai teknologi ini.
Catatan: TCP/IP adalah serangkaian protocol berstandar industri yang dirancang untuk jaringan-jaringan yang besar. TCP/IP termasuk routable, yang berarti bahwa paket-paket data dapat diganti dengan memakai alamat tujuan paket itu.

To protect your MikroTik RouterOS™

To protect your MikroTik RouterOS™, you should do following things:
[edit]
Change admin's password

Just select the Password menu within the winbox GUI, for example:

Or, type the following command in the CLI:
[admin@MikroTik] > / password
old password:
new password: ******
retype new password: ******

This will change your current admin's password to what you have entered twice. Make sure you remember the password! If you forget it, there is no recovery. You need to reinstall the router!
[edit]
Add users to the system

You should add each user that is going to log on to the router as a separate user and specify group of privileges. Add yourself as user of group full (same as for admin), for example:

You may create new groups for users with specific tasks.
[edit]
Set up packet filtering

All packets with destination to the router are processed against the ip firewall filter's input chain. Note, that the input chain does not affect packets which are being transferred through the router!

You can add following rules to the input chain under /ip firewall filter (just 'copy and paste' to the router using Terminal Console or configure the relevant arguments in WinBox):
/ ip firewall filter
add chain=input connection-state=established comment="Accept established connections"
add chain=input connection-state=related comment="Accept related connections"
add chain=input connection-state=invalid action=drop comment="Drop invalid connections"
add chain=input protocol=udp action=accept comment="UDP" disabled=no
add chain=input protocol=icmp limit=50/5s,2 comment="Allow limited pings"
add chain=input protocol=icmp action=drop comment="Drop excess pings"
add chain=input protocol=tcp dst-port=22 comment="SSH for secure shell"
add chain=input protocol=tcp dst-port=8291 comment="winbox"
# Edit these rules to reflect your actual IP addresses! #
add chain=input src-address=159.148.172.192/28 comment="From Mikrotikls network"
add chain=input src-address=10.0.0.0/8 comment="From our private LAN"
# End of Edit #
add chain=input action=log log-prefix="DROP INPUT" comment="Log everything else"
add chain=input action=drop comment="Drop everything else"

Use /ip firewall filter print input stats command to see how many packets have been processed against these rules. Use reset-counters-all command to reset the counters. Examine the system log file /log print to see the packets which have been dropped.

You may need to include additional rules to allow access from certain hosts, etc. Remember that firewall rules are processed in the order they appear on the list! After a rule matches the packet, no more rules are processed for it. After adding new rules, move them up using the move command.

Note, if you mis-configured the firewall and have locked yourselves out from the router, you may use MAC telnet from another router or workstation on the same LAN to connect to your router and correct the problem.

© Copyright 1999-2003, MikroTik

Simple Queue, Memisah Bandwidth Lokal dan Internasional

Selama mengelola Mikrotik Indonesia, banyak sekali muncul pertanyaan bagaimana cara melakukan pemisahan queue untuk trafik internet internasional dan trafik ke internet Indonesia (OpenIXP dan IIX). Di internet sebetulnya sudah ada beberapa website yang menampilkan cara pemisahan ini, tapi kami akan coba menampilkan kembali sesederhana mungkin supaya mudah diikuti.
Pada artikel ini, kami mengasumsikan bahwa:
1. Router Mikrotik melakukan Masquerading / src-nat untuk client. Client menggunakan IP privat.
2. Gateway yang digunakan hanya satu, baik untuk trafik internasional maupun IIX.
3. Anda bisa menggunakan web-proxy internal ataupun tanpa web-proxy. Jika Anda menggunakan web-proxy, maka ada beberapa tambahan rule yang perlu dilakukan. Perhatikan bagian NAT dan MANGLE pada contoh di bawah ini.
Jika ada parameter di atas yang berbeda dengan kondisi Anda di lapangan, maka konfigurasi yang ada di artikel ini harus Anda modifikasi sesuai dengan konfigurasi network Anda.

Pengaturan Dasar

Berikut ini adalah diagram network dan asumsi IP Address yang akan digunakan dalam contoh ini.

Untuk mempermudah pemberian contoh, kami mengupdate nama masing-masing interface sesuai dengan tugasnya masing-masing.

[admin@MikroTik] > /interface pr
Flags: X - disabled, D - dynamic, R - running
# NAME TYPE RX-RATE TX-RATE MTU
0 R ether-public ether 0 0 1500
1 R ether-local ether 0 0 1500
Untuk klien, akan menggunakan blok IP 192.168.0.0/24, dan IP Address 192.168.0.1 difungsikan sebagai gateway dan dipasang pada router, interface ether-local. Klien dapat menggunakan IP Address 192.168.0-2 hingga 192.168.0.254 dengan subnet mask 255.255.255.0.

[admin@MikroTik] > /ip ad pr
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 202.0.0.1/24 202.0.0.0 202.0.0.255 ether-public
1 192.168.0.1/24 192.168.0.0 192.168.0.255 ether-local
Jangan lupa melakukan konfigurasi DNS server pada router, dan mengaktifkan fitur "allow remote request".
Karena klien menggunakan IP private, maka kita harus melakukan fungsi src-nat seperti contoh berikut.

[admin@MikroTik] > /ip fi nat pr
Flags: X - disabled, I - invalid, D - dynamic
0 chain=srcnat out-interface=ether-public
action=masquerade
Jika Anda menggunakan web-proxy transparan, Anda perlu menambahkan rule nat redirect, seperti terlihat pada contoh di bawah ini (rule tambahan yang tercetak tebal).

[admin@MikroTik] > /ip fi nat pr
Flags: X - disabled, I - invalid, D - dynamic
0 chain=srcnat out-interface=ether-public
action=masquerade
1 chain=dstnat in-interface=ether-local protocol=tcp
dst-port=80 action=redirect to-ports=8080
Jangan lupa mengaktifkan fitur web-proxy, dan men-set port layanan web-proxynya, dan disesuaikan dengan port redirect pada contoh di atas.
CEK: Pastikan semua konfigurasi telah berfungsi baik. Lakukanlah ping (baik dari router maupun dari klien) ke luar network Anda secara bergantian.

Pengaturan IP Address List
Mulai Mikrotik RouterOS versi 2.9, dikenal dengan fitur yang disebut IP Address List. Fitur ini adalah pengelompokan IP Address tertentu dan setiap IP Address tersebut bisa kita namai. Kelompok ini bisa digunakan sebagai parameter dalam mangle, firewall filter, nat, ataupun queue.
Mikrotik Indonesia telah menyediakan daftar IP Address yang diadvertise di OpenIXP dan IIX, yang bisa didownload dengan bebas di URL: http://www.mikrotik.co.id/getfile.php?nf=nice.rsc
File nice.rsc ini dibuat secara otomatis di server Mikrotik Indonesia setiap pagi sekitar pk 05.30, dan merupakan data yang telah di optimasi untuk menghilangkan duplikat entry dan tumpang tindih subnet. Saat ini jumlah baris pada script tersebut berkisar 430 baris.
Contoh isi file nice.rsc :

# Script created by: Valens Riyadi @ www.mikrotik.co.id
# Generated at 26 April 2007 05:30:02 WIB ... 431 lines

/ip firewall address-list
add list=nice address="1.2.3.4"
rem [find list=nice]
add list=nice address="125.162.0.0/16"
add list=nice address="125.163.0.0/16"
add list=nice address="152.118.0.0/16"
add list=nice address="125.160.0.0/16"
add list=nice address="125.161.0.0/16"
add list=nice address="125.164.0.0/16"
.
.
dst...
Simpanlah file tersebut ke komputer Anda dengan nama nice.rsc, lalu lakukan FTP ke router Mikrotik, dan uploadlah file tersebut di router. Contoh di bawah ini adalah proses upload menggunakan MS-DOS prompt.

C:\>dir nice.*
Volume in drive C has no label.
Volume Serial Number is 5418-6EEF

Directory of C:\

04/26/2007 06:42p 17,523 nice.rsc
1 File(s) 17,523 bytes
0 Dir(s) 47,038,779,392 bytes free

C:\>ftp 192.168.0.1
Connected to 192.168.0.1.
220 R&D FTP server (MikroTik 2.9.39) ready
User (192.168.0.1:(none)): admin
331 Password required for admin
Password: ********
230 User admin logged in
ftp> ascii
200 Type set to A
ftp> put nice.rsc
200 PORT command successful
150 Opening ASCII mode data connection for '/nice.rsc'
226 ASCII transfer complete
ftp: 17523 bytes sent in 0.00Seconds 17523000.00Kbytes/sec.
ftp> bye
221 Closing

C:\>
Setelah file diupload, import-lah file tersebut.

[admin@MikroTik] > import nice.rsc
Opening script file nice.rsc
Script file loaded and executed successfully
Pastikan bahwa proses import telah berlangsung dengan sukses, dengan mengecek Address-List pada Menu IP - Firewall

Proses upload ini dapat juga dilakukan secara otomatis jika Anda memiliki pengetahuan scripting. Misalnya Anda membuat shell script pada Linux untuk melakukan download secara otomatis dan mengupload file secara otomatis setiap pk 06.00 pagi. Kemudian Anda tinggal membuat scheduler pada router untuk melakukan import file.

Pengaturan Mangle
Langkah selanjutnya adalah membuat mangle. Kita perlu membuat 1 buah connection mark dan 2 buah packet mark, masing-masing untuk trafik internasional dan lokal.

[admin@MikroTik] > /ip firewall mangle pr
Flags: X - disabled, I - invalid, D - dynamic
0 chain=prerouting in-interface=ether-local
dst-address-list=nice
action=mark-connection new-connection-mark=conn-iix
passthrough=yes

1 chain=prerouting connection-mark=conn-iix
action=mark-packet new-packet-mark=packet-iix
passthrough=no

2 chain=prerouting action=mark-packet
new-packet-mark=packet-intl passthrough=no
Untuk rule #0, pastikanlah bahwa Anda memilih interface yang mengarah ke client. Untuk chain, kita menggunakan prerouting, dan untuk kedua packet-mark, kita menggunakan passthrough=no.

Jika Anda menggunakan web-proxy internal dan melakukan redirecting trafic, maka Anda membuat 2 buah rule tambahan seperti contoh di bawah ini (rule tambahan yang tercetak tebal).

[admin@MikroTik] > /ip firewall mangle pr
Flags: X - disabled, I - invalid, D - dynamic
0 chain=prerouting in-interface=ether-local
dst-address-list=nice
action=mark-connection new-connection-mark=conn-iix
passthrough=yes

1 chain=prerouting connection-mark=conn-iix
action=mark-packet new-packet-mark=packet-iix
passthrough=no

2 chain=output connection-mark=conn-iix
action=mark-packet new-packet-mark=packet-iix
passthrough=no

3 chain=prerouting action=mark-packet
new-packet-mark=packet-intl passthrough=no

4 chain=output action=mark-packet
new-packet-mark=packet-intl passthrough=no

Pengaturan Simple Queue
Untuk setiap client, kita harus membuat 2 buah rule simple queue. Pada contoh berikut ini, kita akan melakukan limitasi untuk IP client 192.168.0.2/32, dan kita akan memberikan limitasi iix (up/down) sebesar 64k/256k, dan untuk internasional sebesar (up/down) 32k/128k.

[admin@MikroTik]> /queue simple pr
Flags: X - disabled, I - invalid, D - dynamic

0 name="client02-iix" target-addresses=192.168.0.2/32
dst-address=0.0.0.0/0 interface=all parent=none
packet-marks=packet-iix direction=both priority=8
queue=default-small/default-small limit-at=0/0
max-limit=64000/256000 total-queue=default-small

1 name="client02-intl" target-addresses=192.168.0.2/32
dst-address=0.0.0.0/0 interface=all parent=none
packet-marks=packet-intl direction=both priority=8
queue=default-small/default-small limit-at=0/0
max-limit=32000/128000 total-queue=default-small

Pengecekan Akhir
Setelah selesai, lakukanlah pengecekan dengan melakukan akses ke situs lokal maupun ke situs internasional, dan perhatikanlah counter baik pada firewall mangle maupun pada simple queue.
Anda juga dapat mengembangkan queue type menggunakan pcq sehingga trafik pada setiap client dapat tersebar secara merata.

Queue dengan SRC-NAT dan WEB-PROXY
Pada penggunaan queue (bandwidth limiter), penentuan CHAIN pada MENGLE sangat menentukan jalannya sebuah rule. Jika kita memasang SRC-NAT dan WEB-PROXY pada mesin yang sama, sering kali agak sulit untuk membuat rule QUEUE yang sempurna. Penjelasan detail mengenai pemilihan CHAIN, dapat dilihat pada manual Mikrotik di sini.
Percobaan yang dilakukan menggunakan sebuah PC dengan Mikrotik RouterOS versi 2.9.28. Pada mesin tersebut, digunakan 2 buah interface, satu untuk gateway yang dinamai PUBLIC dan satu lagi untuk jaringan lokal yang dinamai LAN.

[admin@instaler] > in pr
Flags: X - disabled, D - dynamic, R - running
# NAME TYPE RX-RATE TX-RATE MTU
0 R public ether 0 0 1500
1 R lan wlan 0 0 1500

Dan berikut ini adalah IP Address yang digunakan. Subnet 192.168.0.0/24 adalah subnet gateway untuk mesin ini.

[admin@instaler] > ip ad pr
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 192.168.0.217/24 192.168.0.0 192.168.0.255 public
1 172.21.1.1/24 172.21.1.0 172.21.1.255 lan
Fitur web-proxy dengan transparan juga diaktifkan.
[admin@instaler] > ip web-proxy pr
enabled: yes
src-address: 0.0.0.0
port: 3128
hostname: "proxy"
transparent-proxy: yes
parent-proxy: 0.0.0.0:0
cache-administrator: "webmaster"
max-object-size: 4096KiB
cache-drive: system
max-cache-size: none
max-ram-cache-size: unlimited
status: running
reserved-for-cache: 0KiB
reserved-for-ram-cache: 154624KiB

Fungsi MASQUERADE diaktifkan, juga satu buah rule REDIRECTING untuk membelokkan traffic HTTP menuju ke WEB-PROXY

[admin@instaler] ip firewall nat> pr
Flags: X - disabled, I - invalid, D - dynamic
0 chain=srcnat out-interface=public
src-address=172.21.1.0/24 action=masquerade
1 chain=dstnat in-interface=lan src-address=172.21.1.0/24
protocol=tcp dst-port=80 action=redirect to-ports=3128

Berikut ini adalah langkah terpenting dalam proses ini, yaitu pembuatan MANGLE. Kita akan membutuhkan 2 buah PACKET-MARK. Satu untuk paket data upstream, yang pada contoh ini kita sebut test-up. Dan satu lagi untuk paket data downstream, yang pada contoh ini kita sebut test-down.

Untuk paket data upstream, proses pembuatan manglenya cukup sederhana. Kita bisa langsung melakukannya dengan 1 buah rule, cukup dengan menggunakan parameter SRC-ADDRESS dan IN-INTERFACE. Di sini kita menggunakan chain prerouting. Paket data untuk upstream ini kita namai test-up.

Namun, untuk paket data downstream, kita membutuhkan beberapa buah rule. Karena kita menggunakan translasi IP/masquerade, kita membutuhkan Connection Mark. Pada contoh ini, kita namai test-conn.

Kemudian, kita harus membuat juga 2 buah rule. Rule yang pertama, untuk paket data downstream non HTTP yang langsung dari internet (tidak melewati proxy). Kita menggunakan chain forward, karena data mengalir melalui router.

Rule yang kedua, untuk paket data yang berasal dari WEB-PROXY. Kita menggunakan chain output, karena arus data berasal dari aplikasi internal di dalam router ke mesin di luar router.
Paket data untuk downstream pada kedua rule ini kita namai test-down.
Jangan lupa, parameter passthrough hanya diaktifkan untuk connection mark saja.

[admin@instaler] > ip firewall mangle print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; UP TRAFFIC
chain=prerouting in-interface=lan
src-address=172.21.1.0/24 action=mark-packet
new-packet-mark=test-up passthrough=no

1 ;;; CONN-MARK
chain=forward src-address=172.21.1.0/24
action=mark-connection
new-connection-mark=test-conn passthrough=yes

2 ;;; DOWN-DIRECT CONNECTION
chain=forward in-interface=public
connection-mark=test-conn action=mark-packet
new-packet-mark=test-down passthrough=no

3 ;;; DOWN-VIA PROXY
chain=output out-interface=lan
dst-address=172.21.1.0/24 action=mark-packet
new-packet-mark=test-down passthrough=no

Untuk tahap terakhir, tinggal mengkonfigurasi queue. Di sini kita menggunakan queue tree. Satu buah rule untuk data dowstream, dan satu lagi untuk upstream. Yang penting di sini, adalah pemilihan parent. Untuk downstream, kita menggunakan parent lan, sesuai dengan interface yang mengarah ke jaringan lokal, dan untuk upstream, kita menggunakan parent global-in.

[admin@instaler] > queue tree pr
Flags: X - disabled, I - invalid
0 name="downstream" parent=lan packet-mark=test-down
limit-at=32000 queue=default priority=8
max-limit=32000 burst-limit=0
burst-threshold=0 burst-time=0s

1 name="upstream" parent=global-in
packet-mark=test-up limit-at=32000
queue=default priority=8
max-limit=32000 burst-limit=0
burst-threshold=0 burst-time=0s

Variasi lainnya, untuk bandwidth management, dimungkinkan juga kita menggunakan tipe queue PCQ, yang bisa secara otomatis membagi trafik per client.

© Copyright 1999-2003, MikroTik

HotSpot Gateway

Installation
The MikroTik HotSpot is included in the HotSpot package. This also requires DHCP package. Please download the hotspot-2.6.x.npk and dhcp-2.6.x.npk packages from MikroTik's web site, upload them using ftp BINARY mode to router and reboot.

Use the /system package print command to see the list of installed packages.

Software License
The Hotspot limits active user count to 4 for Demo Software License and Software Licenses without additional features enabled (i.e. Basic Software License without additional packages purchased). For unlimited number of users, any additional (wireless, synchronous) license is required. Thus, if you plan to use wireless hotspot, the license is already there.

Hardware Resource Usage
There is no significant resource usage.
How MikroTik HotSpot Gateway Works

MikroTik HotSpot Gateway should have at least two network interfaces:
HotSpot interface which is used to connect HotSpot clients;
LAN/WAN interface which is used to access network resources. For example, DNS and RADIUS server(s) should be accessible.

The diagram below shows sample HotSpot setup.

The HotSpot interface should have two IP addresses assigned to it: one as gateway for the temporary address pool prior to authentication, and second as gateway for the permanent address pool used for authenticated clients. Note, that you have to provide routing for these address pools, unless you plan to use masquerading (source NAT).

The arp feature should be set to 'reply-only' on HotSpot interface to prevent network access using static IP addresses. The DHCP server will add static ARP entries for each DHCP client.

Physical network connection has to be established between the HotSpot user's computer and the gateway. It can be wireless (the wireless card should register to AP), or wired (the NIC card should be connected to HUB).

The Initial Contact
MikroTik HotSpot Gateway's DHCP server assigns IP addresses from the temporary address pool with a very short lease time (approx. 14s), so the address can be changed after authentication.

If user tries to access network resources using web browser, the destination NAT rule redirects all TCP connection requests to HotSpot servlet (port 8080 by default). This brings up the HotSpot Welcome/Login page.

It may be useful to have port 80 for HotSpot servlet because the users might want to see status and log out. If this is impossible, you may redirect requests to a virtual IP address to the servlet.

Note that you may want to have DNS traffic enabled (or redirected to the router's DNS cache) so that the client could be logged in connecting any valid web-page (using it's DNS name). Enabling ICMP ping might be useful as well, since it shows network connectivity. Other traffic should be dropped.

The Servlet
If user is not logged in, login page will be shown (where username and password has to be entered), but if user is logged in, status page will be shown (status: username, IP address, session time, bytes and packets transferred, ...). There are 6 HTML pages that can be easily modified by creating HTML template pages and uploading them to the hotspot folder on MikroTik router. These pages are described in detailes later on.

Authentication
After client computer receives temporary IP address from HotSpot DHCP server, going to any HTTP address with web browser will be redirected to HotSpot authentication page prompting for username and password. Password together with HotSpot generated challenge string is hashed using MD5 algorithm (which in this case is implemented using JavaScript) and is executed on client's computer by web browser. After that, the hash result together with username is sent over Ethernet network to HotSpot servlet. So, password is never sent in plain text over ip network.

HotSpot can authenticate users using local user database or some RADIUS server. Which option is used is determined by /ip hotspot radius-client enabled parameter. If radius client is enabled, RADIUS authentication is used, otherwise local user authentication is done. If authentication is done locally, profile corresponding to that user is used, otherwise (in case of RADIUS) default profile is used to set default values for parameters, which are not set in RADIUS access-accept message.

If authentication by http cookie is enabled, then after each successful login cookie is sent to web browser and the same cookie is added to active HTTP cookie list. Next time when user will try to log in, web browser will send http cookie. This cookie will be compared to the one on HotSpot and only if there is the same source MAC address and the same randomly generated ID, user is automatically logged in. New cookie with different random ID is sent to web browser. Old cookie is removed from local HotSpot active cookie list. New one with new expire time is added.
Address Assignment
When user is successfully authenticated, HotSpot assigns another IP address for client (static or from some IP pool). On next clients DHCP request, the new IP address will be given by DHCP server to this client. How much time this IP address change required, depends on DHCP lease time for non authenticated users. HotSpot login-delay parameter should be set accordingly to this DHCP server lease time. If lease time is 14s, then real login-delay will be about 1..10 seconds. So, it is quite safe to set login-delay to 12s in this case.

While IP address is changed, user sees after-login (alogin.html) page. This page will automatically forward user to original destination address (or status page, if there was no original dst address) after login-delay time will pass.
Logging Out
User can log out using status page. There is a link to http://virtual_HotSpot_ip/logout Going to this page will logout user. After that logout page (logout.html) will be shown to user.

MikroTik HotSpot Gateway Setup
MikroTik HotSpot Gateway setup is under /ip hotspot submenu:

[admin@MikroTik] ip hotspot>
HotSpot management
active HotSpot active user list
user HotSpot local user list
profile HotSpot user profile management
server HotSpot DHCP profile management
radius-client RADIUS client configuration
cookie HotSpot active HTTP cookie list
print Print current configuration and status
get Get value of configuration property
set Change hotspot configuration
export Export hotspot settings
[admin@MikroTik] ip hotspot> print
hotspot-address: 0.0.0.0
status-autorefresh: 1m
auth-mac: no
auth-mac-password: no
auth-http-cookie: no
http-cookie-lifetime: 1d
These are general parameters for HotSpot:
auth-http-cookie - defines whether HTTP authentication by cookie is enabled
auth-mac - defines whether authentication by ethernet MAC address is enabled
auth-mac-password - uses MAC address as password if MAC authorization is enabled
hotspot-address - IP address for HotSpot www access
http-cookie-lifetime - validity time of HTTP cookies
status-autorefresh - WWW status page autorefresh time

HotSpot RADIUS Client Setup
Here is RADIUS client configuration. If it is disabled, users are authorized locally:
[admin@MikroTik] ip hotspot radius-client> print
enabled: no
accounting: yes
primary-server: 10.0.0.96
secondary-server: 0.0.0.0
shared-secret: "secret"
authentication-port: 1812
accounting-port: 1813
interim-update: 5m
[admin@MikroTik] ip hotspot radius-client>
All parameters are the same as for ppp (/ppp radius-client):
accounting - enable or disable RADIUS accounting
accounting-port - IP port on RADIUS server for accounting
authentication-port - IP port on RADIUS server for authentication
enabled - defines whether RADIUS client is enabled
interim-update - Interim-Update time interval
primary-server - IP address of primary RADIUS server
secondary-server - IP address of secondary RADIUS server
shared-secret - shared secret of RADIUS server
RADIUS Parameters
Authentication data sent to server (Access-Request)

NAS-Identifier router identity

NAS-Port-Type for HotSpot is Ethernet

Calling-Station-Id client MAC address (with CAPITAL letters)

Called-Station-Id Hotspot server name (from version 2.6.9)

NAS-Port-Id Hotspot server name

User-Name client login name

CHAP-Password,
CHAP-Challenge encrypted password and challenge

Data received from server (Access-Accept)

Framed-IP-Address IP address given to client. If address is 255.255.255.254,
IP pool is used from hotspot settings. If
Framed-IP-Address is specified, Framed-Pool is ignored.

Framed-Pool IP pool name (on the router) from which to get IP address
for the client

Idle-Timeout idle-timeout parameter

Session-Timeout session-timeout parameter

Framed-Route routes to add on the server. Format is specified in
RFC2865 (Ch. 5.22), can be specified as many times as needed.
Filter-Id firewall filter chain name. It is used to make dynamic
firewall rule that will jump to specified chain, if a
packet if come to or from the client. Firewall chain name
can have suffix .in or .out, that will install rule only
for incoming or outgoing traffic. Multiple filter-id can
be provided, but only last ones for incoming and outgoing is used.

Acct-Interim-Interval interim-update for RADIUS client (used only if RADIUS
client does not have local interim-update setting).

Ascend-Data-Rate tx/rx data rate limitation (for PPPoE). If multiple
attributes are provided, first limits tx data rate,
second - rx data rate. 0 if unlimited.

Mikrotik-Recv-Limit total recv limit in bytes for the client

Mikrotik-Xmit-Limit total transmit limit in bytes for the client

Framed-IP-Netmask client network netmask

Ascend-Client-Gatway client gateway

Note that the received attributes override the default ones (set in the default profile), but if an attribute is not received from RADIUS server, the default one is to be used.
Accounting information sent to server(Accounting-Request)

Acct-Status-Type Satrt, Stop, or Interim-Update
Acct-Session-Id accounting session ID
NAS-Identifier same as in request
User-Name same as in request
NAS-Port-Type same as in request
NAS-Port-Id same as in request
Calling-Station-Id same as in request (from version 2.6.9)
Called-Station-Id same as in request (from version 2.6.9)
Framed-IP-Address IP address given to the user
RADIUS attributes additionally included in Stop and Interim-Update Accounting-Request packets:
Acct-Session-Time connection uptime in seconds
Acct-Input-Octects bytes received from the client
Acct-Input-Packets packets received from the client
Acct-Output-Octets bytes sent to the client
Acct-Output-Packets packets sent to the client
Stop Accounting-Request packets can additionally have:
Acct-Terminate-Cause session termination cause (described in RFC2866 Ch. 5.10)
HotSpot Profiles
The HotSpot profiles are similar to PPP profiles:
[admin@MikroTik] ip hotspot profile> print
Flags: * - default
0 * name="default" session-timeout=0s idle-timeout=0s only-one=no
tx-bit-rate=0 incoming-filter="" outgoing-filter=""
[admin@MikroTik] ip hotspot profile>

Most of these parameters are exactly the same as for /ppp profile:
name - profile name
session-timeout - session timeout for client
idle-timeout - idle timeout for client
only-one - only one simultaneous login per user (yes, no)
tx-bit-rate - transmit bitrate. '0' means no limitation
incoming-filter - firewall chain name for incoming packets
outgoing-filter - firewall chain name for outgoing packets

Default profile will be used in case of RADIUS authentication as well. RADIUS server argument for limiting the data rate (transmited to the client) is Ascend-Data-Rate (vendor id: 529, attribute id:197).

Note that filter rules 'jumping' to the specifies firewall chain are added automatically to the hotspot firewall chain. This means that you should create hotspot chain and pass some (or all) the packets to it in order filtering to function.
HotSpot Server Settings
There can be added one server for each DHCP server. Which server profile to apply will depend on DHCP server which gave DHCP lease to that client. Actually it means that if user will log in from different interfaces, then different server profiles will be used. It allows assigning different IP addresses on different ethernet interfaces.

[admin@MikroTik] ip hotspot server> print
0 name="dhcp1" dhcp-server=hotspot_dhcp lease-time=1m login-delay=14s
address-pool=hotspot netmask=0.0.0.0 gateway=0.0.0.0

[admin@MikroTik] ip hotspot server>
Description of parameters:
address-pool - IP pool name, from which HotSpot client will get IP address if it is not given some static already
gateway - default gateway
lease-time - DHCP lease time for logged in user
login-delay - Time required to log in user
name - DHCP profile name, is sent as NAS-Port-Id by RADIUS client
netmask - network mask
dhcp-server - DHCP server with which to use this profile

HotSpot User Database
The local user database is manages in /ip hotspot user submenu:
[admin@MikroTik] ip hotspot user> print
Flags: X - disabled
# NAME PASSWORD ADDRESS PROFILE UPTIME
0 ax ex 10.0.0.3 default 29m40s
[admin@MikroTik] ip hotspot user> print detail
Flags: X - disabled
0 name="ax" password="ex" address=10.0.0.3 profile=default routes=""
limit-uptime=0s limit-bytes-in=0 limit-bytes-out=0 uptime=29m40s
bytes-in=187476 packets-in=683 bytes-out=327623 packets-out=671
[admin@MikroTik] ip hotspot user>

Parameter description:

name - user name
password - user password
address - static IP address. If not 0.0.0.0, client will get always the same IP address. It implies, that only one simultaneous login for that user is allowed
profile - user profile
routes - user routes. Usage and meaning is exactly the same as for ppp
limit-bytes-in - maximum amount of bytes user can receive
limit-bytes-out - maximum amount of bytes user can transmit
limit-uptime - total uptime limit for user (pre-paid time)

If auth-mac parameter is enabled, clients' MAC addresses (written with CAPITAL letters) can be used as usernames. If auth-mac-password is set to no, there should be no password for that users. Else, the username and the password should be equal. When client is connecting, it's MAC address is checked first. If there is a user with that MAC address, the client is authorized as this user. If there is no match, client is asked for username and password.

The RADIUS attributes for limit-bytes-in and limit-bytes-out are Mikrotik-Recv-Limit (14988, 1) and Mikrotik-Xmit-Limit (14988, 2). These limits are total limits for each user (not for each session as at /ip hotspot active). So, if user has already downloaded something, then session limit will be total limit - (minus) already downloaded. For example, if download limit for user is 100MB and user has already downloaded 30MB, then session download limit after login at /ip hotspot active will be 100MB - 30MB = 70MB.

If user will reach his limits (bytes-in >= limit-bytes-in or bytes-out >= limit-bytes-out), he will not be able to log on anymore.

All these limits (limit-uptime, limit-bytes-in, limit-bytes-out) can be used for pre-paid solutions. Probably 'quota' is a good name for such limits.

Along with these parameters, some statistics are available for each user:
[admin@MikroTik] ip hotspot user> print stats
Flags: X - disabled
# NAME UPTIME BYTES-IN BYTES-OUT PACKETS-IN PACKETS-OUT
0 ax 29m40s 187476 327623 683 671
[admin@MikroTik] ip hotspot user>

Statistics include:
uptime - total time user has been logged in
bytes-in - total bytes received from user
bytes-out - total bytes sent to user
packets-in - total packets received from user
packets-out - total packets sent to user

Note that these stats are updated each time user logs out and RADIUS accounting is disabled (or RADIUS is disabled). It means, that if user is currently logged in, then these stats will not show current total values. Use /ip hotspot active print stats to produce statistics on current user sessions.

The active user list shows the list of currently logged in users. Nothing can be changed here, except user can be removed with the remove command.

[admin@MikroTik] ip hotspot active> print
# USER ADDRESS UPTIME SESSION-TIMEOUT IDLE-TIMEOUT
0 ex 10.0.0.204 6m10s
[admin@MikroTik] ip hotspot active>
Description of the printout:
user - name of user logged in
address - IP address of logged in user
uptime - current session time (logged in time) for this IP address
session-timeout - how much time it is left for IP address until it will be automatically logged out
idle-timeout - how much idle time it is left for IP address until it will be automatically logged out

Statistics about logged in user are available too:
[admin@MikroTik] ip hotspot active> print stats
# USER UPTIME BYTES-IN BYTES-OUT PACKETS-IN PACKETS-OUT
0 ax 12m53s 1237091 1222130 4062 4241
[admin@MikroTik] ip hotspot active>
HotSpot Cookies
HotSpot Cookies can be managed within ip hotspot cookie submenu:
[admin@MikroTik] ip hotspot cookie>
HotSpot active HTTP cookie list
find Find active HTTP cookie
print Show active HTTP cookie list
remove Remove active HTTP cookie
get Get active HTTP cookie properties
[admin@MikroTik] ip hotspot cookie> print
# USER MAC-ADDRESS EXPIRES-IN
0 ex 00:30:4F:13:BF:EF 2d23h56m56s
[admin@MikroTik] ip hotspot cookie>
Cookies can be listed and removed. They can not be changed or added manually.

HotSpot Step-by-Step User Guide
Planning the Configuration
First of all, make sure you have MikroTik RouterOS 2.6.2 or higher with hotspot and dhcp packages installed. Let us consider following example HotSpot setup:

There will be 2 hotspot IP address ranges used for clients on prism1 interface. You are free to choose the address ranges, just make sure you use masquerading for not routed ones. In our example, we are using
temporary addresses which must be masqueraded:
network: 192.168.0.0/24
gateway: 192.168.0.1
pool: 192.168.0.2-192.168.0.254

real addresses which require routing:
network: 10.5.50.0/24
gateway: 10.5.50.1
pool: 10.5.50.2-10.5.50.254

Temporary addresses are given out by DHCP server (configured within /ip dhcp-server), but real addresses are given out by hotspot dhcp configuration.

For hotspot client accounting, hotspot will add dynamic firewall rules in firewall hotspot chain. This chain has to be created manually. And all network packets (to/from hotspot clients) have to pass this chain.

Setup Example
Follow the steps below:
Your ether1 interface is configured with IP address 10.5.6.5/24 and the default route points to gateway 10.5.6.1
Your prism1 interface is configured for AP mode and can register IEEE 802.11b wireless clients. See the Prism Interface Manual for more details.
ARP should be set to 'reply-only' on prism interface, so no dynamic entries are added to the ARP table. DHCP server will add entries only for clients which have obtained DHCP leases.
/interface prism set prism1 arp=reply-only
Add two IP addresses to prism1 interface:
/ip address add address=192.168.0.1/24 interface=prism1
/ip address add address=10.5.50.1/24 interface=prism1
add 2 IP pools:
/ip pool add name=temp ranges=192.168.0.2-192.168.0.254
/ip pool add name=hspot ranges=10.5.50.2-10.5.50.254
add masquerading rule for temporary IP pool, which is not routed:
/ip firewall src-nat add src-address=192.168.0.0/24 action=masquerade
Make sure you have routing for authenticated address space. Try to ping 10.5.50.1 from your internet gateway 10.5.6.1, for example. See the Basic Setup Guide on how to set up routing.

Add dhcp server (for temporary IP addresses):
/ip dhcp-server add name="hs_temp" interface=prism1 lease-time=14s \
address-pool=temp netmask=255.255.255.0 gateway=192.168.0.1 \
dns-server=159.148.60.2,159.148.108.1 domain="mt.lv" add-arp=yes disabled=no
Add hotspot server setup (for logged in IP addresses):
/ip hotspot server add name=hs_dhcp dhcp-server=hs_temp address-pool=hspot \
netmask=255.255.255.0 gateway=10.5.50.1
Add local hotspot user:
/ip hotspot user add name=ax password=ex
Setup hotspot service to run on port 80 (www service has to be assigned another port, e.g., 8081):
/ip service set www port=8081
/ip service set hotspot port=80
Note! Changing www service to other port than 80 requires thet you specify the new port when connecting to MikroTik router using WinBox, e.g., use 10.5.50.1:8081 in this case.

redirect all TCP requests from temporary IP addresses to hotspot service:
/ip firewall dst-nat add src-address=192.168.0.0/24 protocol=tcp action=redirect \
to-dst-port=80 comment="redirect unauthorized hotspot clients to hotspot service"
Allow DNS requests and ICMP ping from temporary addresses and reject everything else:

/ip firewall rule forward add src-address=192.168.0.0/24 protocol=icmp
/ip firewall rule forward add src-address=192.168.0.0/24 protocol=udp\
dst-port=53
/ip firewall rule forward add src-address=192.168.0.0/24 action=reject\
comment="reject access for unauthorized hotspot clients"
Add hotspot chain:
/ip firewall add name=hotspot
Pass all through going traffic to hotspot chain:
/ip firewall rule forward add action=jump jump-target=hotspot
If client has obtained temporary address, its lease is shown as:

[admin@HotSpot_GW] > ip dhcp-server lease print
Flags: X - disabled, D - dynamic, H - hotspot
# ADDRESS MAC-ADDRESS EXPIRES-A... SERVER STATUS
0 D 192.168.0.254 00:40:96:13:B3:47 8s hs_temp bound
[admin@HotSpot_GW] >

After successful authentication its DHCP address is changed, and it is listed under active hotspot users:

[admin@HotSpot_GW] > ip dhcp-server lease print
Flags: X - disabled, D - dynamic, H - hotspot
# ADDRESS MAC-ADDRESS EXPIRES-A... SERVER STATUS
0 DH 10.5.50.2 00:40:96:13:B3:47 56s hs_temp bound
[admin@HotSpot_GW] > ip hotspot active print
# USER ADDRESS UPTIME SESSION-TIMEOUT IDLE-TIMEOUT
0 ax 10.5.50.2 2m25s
[admin@HotSpot_GW] > /ip hotspot active print stats
# USER UPTIME BYTES-IN BYTES-OUT PACKETS-IN PACKETS-OUT
0 ax 13m26s 145268 264282 475 494
[admin@HotSpot_GW] >

User statistics show accumulated values prior to current session.

[admin@HotSpot_GW] > ip hotspot user print stats
Flags: X - disabled
# NAME UPTIME BYTES-IN BYTES-OUT PACKETS-IN PACKETS-OUT
0 ax 6m29s 9896 31156 80 77
[admin@HotSpot_GW] >

User statistics values are updated after current session is closed. Values can be reset to '0' using the reset command.

Optional Settings

You may want to use same address space both for your LAN and HotSpot networks. Please consult the IP Address and ARP Manual for proxy-arp feature.
You may want to translate the destination address of all TCP port 25 connections (SMTP) from HotSpot users to your mail sever for mail relaying. Thus, users can retain their mail client setup and use your mail server for outgoing mail without reconfiguring their mail clients. If 10.5.6.100 is your mail server accepting connections from network 10.5.50.0/24, then the required destination NAT rule would be:

/ip firewall dst-nat add src-address=10.5.50.0/24 dst-port=25 protocol=tcp\
to-dst-address=10.5.6.100 action=nat\
comment="Translate SMTP TCP 25 port to our mail server"

Another option is to allow access certain pages without authentication. This is useful, for example, to give access to some general information about HotSpot service provider or billing options. Include firewall rules into the forward chain allowing access to certain IP addresses prior the rule that rejects all other traffic from temporary addresses. Also, add rules excluding destination NAT for these addresses. For example:

1) in dst-nat: don't redirect requests going to your web server (x.x.x.x:80) (this rule has to be before "redirect to hotspot service" rule!)

/ip firewall dst-nat add dst-address=x.x.x.x/32 dst-port=80 protocol=tcp\
action=accept

2) in forward chain: accept requests going to your web server (this rule has to be before "reject access for unauthorized hotspot clients" rule!)

/ip firewall rule forward add dst-address=x.x.x.x/32 dst-port=80 protocol=tcp\
action=accept

For HotSpot clients to use transparent web-proxy on the same router, following configuration can be used:

1) make sure, web-proxy package is installed;
2) it is assumed, that HotSpot is set up and successfully running. Hotspot clients are connected on interface named 'prism1'.
3) set up web-proxy to run on port 3128 using transparent mode:

/ip web-proxy set enabled=yes address=0.0.0.0:3128 transparent-proxy=yes

4) set up HotSpot to use one of router's local IP addresses (10.5.50.1):

/ip hotspot set hotspot-address=10.5.50.1

5) redirect all requests from hotspot interface to port 80 (except to 10.5.50.1), to web-proxy:

/ip firewall dst-nat add in-interface=prism1 dst-address=!10.5.50.1/32 dst-port=80\
protocol=tcp action=redirect to-dst-port=3128 comment="transparent proxy"

Now, everything should be working. Only traffic of redirected requests to web-proxy will not be accounted. It's because this traffic will not pass through the forward chain.

6) to enable accounting for user traffic to/from transparent web-proxy, additional firewall rules should be added:

/ip firewall rule input add in-interface=prism1 dst-port=3128\
protocol=tcp action=jump jump-target=hotspot\
comment="account traffic from hotspot client to transparent web-proxy"
/ip firewall rule output add src-port=3128 protocol=tcp\
out-interface=prism1 action=jump jump-target=hotspot\
comment="account traffic from transparent web-proxy back to hotspot client"

You may want to prevent multiple logins using the same username/password. Set the argument value of 'only-one' to 'yes' in hotspot profile, for example:
/ip hotspot profile set default only-one=yes


If you have dns-cache package installed, setup local DNS cache and specify HotSpot gateway's address as primary DNS server for DHCP clients, for example:
/ip dns-cache set dns-server=159.148.60.2 enabled=yes
/ip dhcp-server set hs_temp dns-server=10.5.50.1,159.148.108.1

Customizing the Servlet
There are many possibilities to customize what the authorization servlet pages look like:
The pages are easily modifiable. They are stored on the router's FTP server in hotspot directory.
Changing the variables client is sending to the HotSpot gateway it is possible to reduce keyword count to one (username or password; the client's MAC address may be used as the other value) or even to zero (License Agreement; some predefined values general for all users or client's MAC address may be used as username and password)
Registration may occur on a different server. Client's MAC address may be passed to it, so that this information need not be written in manually. After the registration, the server may change RADIUS database enabling client to log in.
Servlet Page Description
There are 6 HTML pages to interact with hotspot client:
login.html - login page
status.html - status page for logged in user
logout.html - after_logged_out page
error.html - various error messages
redirect.html - redirecting web browser to another url
alogin.html - page, which is shown after successful login while client gets new IP address from DHCP server (for 10 seconds or so)
Variable Description
All of the pages use variables to show user specific values. For each variable there is an example included in brackets.

Common variables (available in all pages):
hostname - IP address for hotspot www access ("10.5.50.1")
link_logout - link to logout page ("http://10.5.50.1/logout")
link_login - link to login page ("http://10.5.50.1/login?dst=http://www.mt.lv/")
link_status - link to status page ("http://10.5.50.1/status")
link_orig - link to original destination page ("http://www.mt.lv/")
Page specific variables:
redirect.html:
link_redirect - page to which redirect has to be done (for example, "http://www.mt.lv/")

login.html:
mac - MAC address ("01:02:03:04:05:06")
error - error message, if previous login failed ("invalid username or password")
input_user - name and value of username input field ("name=user value=john")
input_password - name of password input field ("name=password")
input_popup - name and value of popup input field ("name=popup checked")
form_input - name of input form and JavaScript for password encoding ("name=login onSubmit=...")
main - MD5 encryption JavaScript and form for encrypted password
Note that it is required login page to use use main variable. And it is strongly suggested to place it BEFORE form_input input form. Otherwise situation can happen, that user already has entered his username/password, but MD5 encryption JavaScript is not yet loaded. It may result in password being sent over ethernet in plain text. And of course, that login will fail in this case, too.

alogin.html:
link_redirect - page to which redirect has to be done (for example, "http://www.mt.lv/")
login_time - time in seconds after which redirect has to be done ("9")
popup - true if alogin.html should pop-up status page in new window, false - otherwise


status.html, logout.html: information on logged in user
username - name ("john")
ip - IP address ("192.168.0.222")
mac - MAC address ("01:02:03:04:05:06")
uptime - logged in time ("10h2m33s")
session-timeout - session timeout left for user ("5h" or "---" if none)
session-valid-till - date and time when session will expire ("Sep/21/2002 16:12:33" or "---" if there is no session-timeout)
idle-timeout - idle timeout ("20m" or "---" if none)
bytes-in - number of bytes received from client ("15423")
bytes-out - number of bytes sent to client ("11352")
packets-in - number of packets received from client ("251")
packets-out - number of packets sent to client ("211")

status.html:
refresh_time - time in seconds after which to automatically refresh status page
refresh_time_str - more friendly representation of refresh_time

error.html:
error - error message ("DHCP lease not found")
To insert variable in some place in HTML file, variable name surrounded by % symbols is used. For example, to show link to login page, following construction can be used:
login
It can be used in any hotspot HTML file.

Note, that to insert % symbol as a text (not as a part of variable construction), "%%" has to be used (if there is only one % symbol on a page or string between it and next % symbol is not a valid variable name, % may be used with the same result).
Examples
With basic HTML language knowledge and the information below it should be easy to implement the ideas described above
To provide predefined value as username, change:

to this line:

(where hsuser is the username you are providing)

To provide predefined value as password, change:

to this line:

(where hspass is the password you are providing)

To send client's MAC address to a registration server in form of:
https://www.server.serv/register.html?mac=XX:XX:XX:XX:XX:XX
change the Login button link to:
https://www.server.serv/register.html?mac=%mac%
(you should correct the link to point to your server)

© Copyright 1999-2003, MikroTik